Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:M/AU:N/C:N/I:P/A:N)
Производитель ПО
Наименование ПО
SAP Notes
(1567387-2)
SAP Support Packages
(EP_RUNTIME_711_SP004_000008, EP_RUNTIME_711_SP005_000003, EP_RUNTIME_711_SP006_000003, EP_RUNTIME_711_SP007_000000, EP_RUNTIME_711_SP008_000000, EP_RUNTIME_711_SP999999_999999, EP_RUNTIME_720_SP002_000005, EP_RUNTIME_720_SP003_000004, EP_RUNTIME_720_SP004_000003, EP_RUNTIME_720_SP005_000001, EP_RUNTIME_720_SP006_000000, EP_RUNTIME_720_SP999999_999999, PORTAL_700_SP020_000010, PORTAL_700_SP021_000012, PORTAL_700_SP999999_999999, PORTAL_701_SP005_000013, PORTAL_701_SP006_000030, PORTAL_701_SP999999_999999, PORTAL_702_SP003_000000, PORTAL_702_SP999999_999999)
Описание
DTN в Navigation некорректно кодируют параметры input (ввода), что позволяет осуществить отраженное межсайтовое выполнение сценариев. Отраженное межсайтовое выполнение сценариев может быть использовано для временного искажения или изменения отображаемого содержимого веб-сайта.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Как исправить
Используйте соответствующий пакет поддержки (см. прилагаемые исправления).
Ссылки
