Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:M/AU:N/C:N/I:P/A:N)
Производитель ПО
Наименование ПО
SAP Notes
(1589716-2)
SAP Support Packages
(PORTAL_BASIS_710_SP009_000004, PORTAL_BASIS_710_SP010_000005, PORTAL_BASIS_710_SP011_000002, PORTAL_BASIS_710_SP012_000001, PORTAL_BASIS_710_SP013_000000, PORTAL_BASIS_710_SP999999_999999, PORTAL_BASIS_711_SP004_000007, PORTAL_BASIS_711_SP005_000004, PORTAL_BASIS_711_SP006_000002, PORTAL_BASIS_711_SP007_000001, PORTAL_BASIS_711_SP008_000000, PORTAL_BASIS_711_SP999999_999999, PORTAL_BASIS_720_SP001_000005, PORTAL_BASIS_720_SP002_000006, PORTAL_BASIS_720_SP003_000007, PORTAL_BASIS_720_SP004_000004, PORTAL_BASIS_720_SP005_000001, PORTAL_BASIS_720_SP006_000000, PORTAL_BASIS_720_SP999999_999999, PORTAL_BASIS_730_SP001_000001, PORTAL_BASIS_730_SP002_000003, PORTAL_BASIS_730_SP003_000001, PORTAL_BASIS_730_SP004_000000, PORTAL_BASIS_730_SP999999_999999, PORTAL_FRAMEWORK_700_SP020_000007, PORTAL_FRAMEWORK_700_SP021_000015, PORTAL_FRAMEWORK_700_SP022_000009, PORTAL_FRAMEWORK_700_SP023_000005, PORTAL_FRAMEWORK_700_SP024_000001, PORTAL_FRAMEWORK_700_SP026_000000, PORTAL_FRAMEWORK_700_SP999999_999999, PORTAL_FRAMEWORK_701_SP005_000007, PORTAL_FRAMEWORK_701_SP006_000009, PORTAL_FRAMEWORK_701_SP007_000006, PORTAL_FRAMEWORK_701_SP008_000003, PORTAL_FRAMEWORK_701_SP009_000001, PORTAL_FRAMEWORK_701_SP010_000000, PORTAL_FRAMEWORK_701_SP999999_999999, PORTAL_FRAMEWORK_702_SP003_000006, PORTAL_FRAMEWORK_702_SP004_000008, PORTAL_FRAMEWORK_702_SP005_000004, PORTAL_FRAMEWORK_702_SP006_000005, PORTAL_FRAMEWORK_702_SP007_000002, PORTAL_FRAMEWORK_702_SP008_000002, PORTAL_FRAMEWORK_702_SP009_000000, PORTAL_FRAMEWORK_702_SP999999_999999, PORTAL_PLATFORM_60_640_SP025_000004, PORTAL_PLATFORM_60_640_SP026_000004, PORTAL_PLATFORM_60_640_SP027_000003, PORTAL_PLATFORM_60_640_SP028_000001, PORTAL_PLATFORM_60_640_SP029_000000, PORTAL_PLATFORM_60_640_SP999999_999999)
Описание
Portal runtime в Portal некорректно кодируют параметры INPUT (ввода), что позволяет осуществить межсайтовое выполнение сценариев. Межсайтовое выполнение сценариев может быть использовано для временного искажения или изменения отображаемого содержимого веб-сайта.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Атакующий, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Атакующий, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Как исправить
На вкладке "SP Patch Level" данного бюллетеня по безопасности можно проверить наличие соответствующего пакета исправлений, устраняющего данную уязвимость.
Ссылки
