CVE-2018-5405

Quest Kace K1000 Appliance'ın 9.0.270 öncesi sürümleri, 'User Console Only' haklarına sahip, kimliği doğrulanmış ve en düşük yetkili bir kullanıcının biletler sayfasında potansiyel olarak rastgele JavaScript kodu enjekte etmesine izin verir. Betik yürütme, sistemdeki kötü niyetli bir kullanıcının Administrator dahil diğer kullanıcıların oturum çerezlerini çalmasına ve oturumlarını ele geçirmesine olanak tanıyabilir. Bu durum, diğer saldırıları başlatmak için daha fazla istismar edilebilir. Yazılım ayrıca, kullanıcı tarafından kontrol edilebilen girdileri, diğer kullanıcılara sunulan bir web sayfası olarak kullanılan çıktıya yerleştirmeden önce etkisiz hale getirmez veya yanlış şekilde etkisiz hale getirir. Yazılım, kullanıcı tarafından kontrol edilebilen girdileri, diğer kullanıcılara sunulan bir web sayfası olarak kullanılan çıktıya yerleştirmeden önce etkisiz hale getirmez veya yanlış şekilde etkisiz hale getirir. 'User console only' haklarına sahip kimliği doğrulanmış bir kullanıcı, Administrator dahil başkalarının oturumunun bir saldırgan tarafından ele geçirilmesiyle sonuçlanabilecek rastgele JavaScript enjekte edebilir.