[建议描述]: 低于 3.3.39 版本的 OLIMPOKS 允许 Auth/Admin ErrorMessage XSS。
远程攻击者可利用已发现的漏洞，向受害者的浏览器中注入恶意 JavaScript 载荷，作用于易受攻击的应用程序上下文中。执行代码可用于窃取管理员 cookie、影响目标应用程序的 HTML 内容以及执行钓鱼相关攻击。该易受攻击的应用程序被超过 3000 家组织使用，涵盖从零售到工业的不同领域。
[附加信息]:
已向供应商发送有关该漏洞的信函。漏洞已得到供应商确认。
漏洞已得到政府机构确认：https://bdu.fstec.ru/vul/2020-04623
[漏洞类型]: 跨站脚本（XSS）
[产品供应商]: olimpoks.ru
[受影响产品代码库]: 低于 3.3.39 版本的在线 olimpoks 系统。
[攻击类型]: 远程
[影响拒绝服务]: 否
[影响信息泄露]: 是
[攻击向量]: 易受攻击的 URL 和参数：http://olimpoks.TARGET-HOST:9001/Auth/Admin?ErrorMessage=bb%27);alert(1);//
[发现者]: Alexander Semenenko, Luka Safonov, Sergey Zelensky
[概念验证]:
