CVE-2022-42974
Təsvir
Kostal PIKO 1.5-1 MP plus HMI OEM p 1.0.1 versiyasında Günəş Paneli üçün veb tətbiqi /file.bootloader.upload.html ünvanında Saxlanılan Saytlararası Skriptinq (Stored XSS) hücumuna qarşı həssasdır. Tətbiq sistem yeniləməsi üçün /file.bootloader.upload.html ünvanına göndərilən POST sorğusunda filename parametrini təmizləmir, beləliklə, səhifəyə HTML və/və ya JavaScript inyeksiya etməyə imkan verir ki, bu da daha sonra tətbiq tərəfindən emal edilir və saxlanılır. Zərərli məzmunu çağıran səhifələrə edilən növbəti hər hansı sorğu, qurbanın brauzerində bu həssaslıqdan avtomatik olaraq istifadə edəcəkdir. Bu, həmçinin teqin səhifənin HTML strukturundakı innerHTML funksiyasında yüklənməsi səbəbindən baş verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kostal_piko mp_plus_hmi_oem | v ≤ 1.0.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.