CVE-2023-42362

作者：Abdelrahman Mohamed (Mr-n0b3dy)

Linked-in：https://www.linkedin.com/in/abdelrhman-mohamed-ashraf-7bb43410b/

漏洞名称：不受限制的文件上传，导致账户接管（ATO）

严重性：高危

产品：NCR teller web app

版本：4.4.0

描述：

不受限制的文件上传导致存储型跨站脚本（XSS）漏洞是此 Web 应用程序中发现的一个安全问题。该漏洞源于文件上传功能缺乏适当的输入验证。

影响：

攻击者可以上传包含 JavaScript 代码的恶意文件，从而劫持已存储在本地存储中的管理员会话。此漏洞可能导致管理员账户被接管，使攻击者获得管理员功能的完全访问权限。

修复建议：

请安装最新版本的 NCR Teller web app。