Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
SAP Notes
(1595111-2)
SAP Support Packages
(EP_APPLICATION_EXTENSIONS_710_SP005_000001, EP_APPLICATION_EXTENSIONS_710_SP011_000000, EP_APPLICATION_EXTENSIONS_710_SP999999_999999, EP_APPLICATION_EXTENSIONS_711_SP006_000000, EP_APPLICATION_EXTENSIONS_711_SP999999_999999, EP_APPLICATION_EXTENSIONS_720_SP004_000000, EP_APPLICATION_EXTENSIONS_720_SP999999_999999, EP_APPLICATION_EXTENSIONS_730_SP001_000000, EP_APPLICATION_EXTENSIONS_730_SP999999_999999, EP_APPLICATION_EXTENSIONS_731_SP000_000000, EP_APPLICATION_EXTENSIONS_731_SP999999_999999, PORTAL_700_SP019_000000, PORTAL_700_SP999999_999999, PORTAL_701_SP004_000000, PORTAL_701_SP999999_999999, PORTAL_702_SP000_000000, PORTAL_702_SP999999_999999)
Описание
Все приложения в com.sap.portal.wsrp некорректно кодируют параметры ввода (INPUT), что позволяет осуществить отраженное межсайтовое выполнение сценариев. Отраженное межсайтовое выполнение сценариев может быть использовано для временного искажения или изменения отображаемого содержимого веб-сайта.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Отраженное межсайтовое выполнение сценариев позволяет получить аутентификационные данные пользователей, например, данные, относящиеся к их текущей сессии. Злоумышленник, получивший доступ к подобной информации, может получить доступ ко всей информации с правами целевого пользователя. Если атака проводится от имени администратора, то безопасность приложения может быть полностью скомпрометирована.
Как исправить
Все указанные выше приложения являются тестовыми и были удалены из Portal.
Используйте исправления с закладки 'SP Patch Level'.
Используйте исправления с закладки 'SP Patch Level'.
Ссылки
