Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1600429-6)
SAP Support Packages
(SAPKB62072, SAPKB64029, SAPKB70026, SAPKB70111, SAPKB70210, SAPKB70211, SAPKB71014, SAPKB71109, SAPKB72007, SAPKB73005, SAPKB73007, SAPKB73101, SAPKB73102)
Описание
SAP HTML Control в BC-FES-CTL некорректно кодирует параметры INPUT (ввода), что позволяет осуществить отраженное межсайтовое выполнение сценариев. Отраженное межсайтовое выполнение сценариев может быть использовано для временного искажения или изменения отображаемого содержимого веб-сайта.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Атакующий, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Атакующий, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Как исправить
В HTML Control появился новый механизм фильтрации вредоносного содержимого. Все приложения могут применять новый механизм фильтрации перед передачей содержимого в HTML control.
Если при вызове метода load_data или load_html_document в приложении установлен параметр NEEDFILTERING, то HTML Control самостоятельно фильтрует и отображает содержимое.
Для устранения данной уязвимости воспользуйтесь инструкциями по исправлению ошибок.
Если при вызове метода load_data или load_html_document в приложении установлен параметр NEEDFILTERING, то HTML Control самостоятельно фильтрует и отображает содержимое.
Для устранения данной уязвимости воспользуйтесь инструкциями по исправлению ошибок.
Ссылки
