CVE-2024-48591

Раскрытие уязвимости: XSS в Inflectra SpiraTeam 7.2.00

Описание

Inflectra SpiraTeam версии 7.2.00 уязвима для межсайтового скриптинга (XSS) через загрузку специально созданных SVG-файлов, которые выполняют JavaScript при прямом просмотре.

Тип уязвимости

Межсайтовый скриптинг (XSS)

Вендор

Inflectra

Затронутый продукт

SpiraTeam 7.2.00

Затронутый компонент

Раздел TestRuns

Тип атаки

Удаленная

Воздействие

• Повышение привилегий: Позволяет злоумышленникам потенциально получить более высокие уровни доступа.

Векторы атаки

Злоумышленник может загрузить специально созданный SVG-файл, содержащий JavaScript. При прямом просмотре файла JavaScript выполняется в браузере зрителя.

Ссылки

• OWASP: Межсайтовый скриптинг (XSS)
• CWE-79: Неправильная нейтрализация ввода при генерации веб-страниц ('Межсайтовый скриптинг')

Подтверждение вендора

Inflectra подтвердила существование данной уязвимости.

Обнаружитель

Gareth Catterall https://www.anchorsec.co.uk

Примечание

Пользователям SpiraTeam 7.2.00 следует обновиться до последней версии.