CVE-2022-34322
Açıklama
Sage Enterprise Intelligence 2021 R1.1 sürümünde, bir saldırganın kullanıcı tarayıcılarının bağlamında JavaScript kodu çalıştırmasına izin veren birden fazla XSS sorunu keşfedilmiştir. Saldırganın, savunmasız özelliklere erişebilmek için kimlik doğrulaması yapmış olması gerekir. Sorun, Notify Users About Modification menüsünde ve Notifications özelliğinde mevcuttur. Bir kullanıcı kötü amaçlı bildirimler gönderebilir ve bildirimleri etkinleştirmiş olan her kullanıcının tarayıcısında JavaScript kodu çalıştırabilir. Bu durum saklanmış bir XSS'dir ve uygulama bağlamında yetki yükseltmeye yol açabilir. (Bir başka sorun ise Favorites sekmesinde mevcuttur. Bir favorinin veya favoriler klasörünün adı HTML olarak yorumlanır ve bu nedenle görüntülendiğinde çalışan JavaScript kodu gömebilir. Bu bir self-XSS'dir.)
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sage sage_enterprise_intelligence | 2021_r1.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.