CVE-2022-23861: Множественные сохраненные межсайтовые скрипты в YSoft SafeQ

Множество полей в веб-приложении YSoft SafeQ могут использоваться для внедрения вредоносных входных данных, которые из-за отсутствия очистки вывода приводят к выполнению произвольного JS-кода. Эти поля могут быть использованы для проведения XSS-атак на легитимных пользователей, имеющих доступ к веб-интерфейсу SafeQ.

Совместная работа:

Эта уязвимость была обнаружена совместно с Marian-Razvan Ilisanu.

Раскрытие NVD:

Раскрытие этой уязвимости можно найти здесь.

Требования:

Эта уязвимость требует:

• Действительные учетные данные пользователя для доступа и редактирования уязвимых полей

Доказательство концепции:

Более подробная информация и процесс эксплуатации приведены в этом PDF.