osTicket bis 1.14.1 SLA Name include/class.sla.php Cross Site Scripting

EintraganpassenHistoryDiffjsonxmlCTI
CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.3$0-$5k0.07

Es wurde eine problematische Schwachstelle in osTicket bis 1.14.1 (Ticket Tracking Software) ausgemacht. Dabei betrifft es ein unbekannter Prozess der Datei include/class.sla.php der Komponente SLA Name Handler. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-79 vorgenommen. Dies wirkt sich aus auf die Integrität. CVE fasst zusammen:

include/class.sla.php in osTicket before 1.14.2 allows XSS via the SLA Name.

Die Schwachstelle wurde am 04.05.2020 publik gemacht. Die Verwundbarkeit wird seit dem 04.05.2020 unter CVE-2020-12629 geführt. Der Angriff kann über das Netzwerk erfolgen. Das Angehen einer einfachen Authentisierung ist erforderlich, um eine Ausnutzung anzugehen. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Es sind sowohl technische Details als auch ein Exploit zur Schwachstelle bekannt. MITRE ATT&CK führt die Angriffstechnik T1059.007 für diese Schwachstelle.

Er wird als proof-of-concept gehandelt. Unter exploit-db.com wird der Exploit zur Verfügung gestellt.

Ein Upgrade auf die Version 1.14.2 vermag dieses Problem zu beheben.

Produktinfoanpassen

Typ

Name

CPE 2.3infoanpassen

CPE 2.2infoanpassen

CVSSv3infoanpassen

VulDB Meta Base Score: 4.4
VulDB Meta Temp Score: 4.3

VulDB Base Score: 3.5
VulDB Temp Score: 3.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 5.4
NVD Vector: 🔍

CVSSv2infoanpassen

AVACAuCIA
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfoanpassen

Klasse: Cross Site Scripting
CWE: CWE-79
ATT&CK: T1059.007

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Proof-of-Concept
Download: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Exploit-DB: 🔍

Threat Intelligenceinfoanpassen

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfoanpassen

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: osTicket 1.14.2

Timelineinfoanpassen

04.05.2020 🔍
04.05.2020 +0 Tage 🔍
04.05.2020 +0 Tage 🔍
15.10.2020 +164 Tage 🔍

Quelleninfoanpassen

Status: Nicht definiert

CVE: CVE-2020-12629 (🔍)

Eintraginfoanpassen

Erstellt: 04.05.2020 17:02
Aktualisierung: 15.10.2020 08:01
Anpassungen: (1) source_exploitdb
Komplett: 🔍

Kommentare

Want to stay up to date on a daily basis?

Enable the mail alert feature now!