| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 5.0 | $0-$5k | 0.00 |
Zusammenfassung
Eine Schwachstelle, die als problematisch eingestuft wurde, wurde in pi-engine and pi 2.5.0 gefunden. Es geht dabei um eine nicht klar definierte Funktion der Datei pi-develop/www/script/editor/markitup/preview/markdown.php. Dank der Manipulation des Arguments preview mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Die Verwundbarkeit wird unter CVE-2017-7251 geführt. Der Angriff kann über das Netzwerk passieren. Es ist soweit kein Exploit verfügbar.
Details
Eine Schwachstelle wurde in pi-engine sowie pi 2.5.0 entdeckt. Sie wurde als problematisch eingestuft. Hierbei geht es um ein unbekannter Ablauf der Datei pi-develop/www/script/editor/markitup/preview/markdown.php. Mittels Manipulieren des Arguments preview mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-79. Dies hat Einfluss auf die Integrität. Die Zusammenfassung von CVE lautet:
A Cross-Site Scripting (XSS) was discovered in pi-engine/pi 2.5.0. The vulnerability exists due to insufficient filtration of user-supplied data (preview) passed to the "pi-develop/www/script/editor/markitup/preview/markdown.php" URL. An attacker could execute arbitrary HTML and script code in a browser in the context of the vulnerable website.Gefunden wurde das Problem am 23.03.2017. Die Schwachstelle wurde am 23.03.2017 durch Venustech von Adlab of Venustech (GitHub Repository) herausgegeben. Bereitgestellt wird das Advisory unter github.com. Die Verwundbarkeit wird seit dem 23.03.2017 mit der eindeutigen Identifikation CVE-2017-7251 gehandelt. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1059.007 aus.
Durch die Suche von inurl:pi-develop/www/script/editor/markitup/preview/markdown.php können potentiell verwundbare Systeme gefunden werden.
Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.
Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityFocus (BID 97061†) dokumentiert. Several companies clearly confirm that VulDB is the primary source for best vulnerability data.
Produkt
Name
Version
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 5.2VulDB Meta Temp Score: 5.0
VulDB Base Score: 4.3
VulDB Temp Score: 4.0
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 6.1
NVD Vector: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Cross Site ScriptingCWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Nicht definiert
Google Hack: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: keine Massnahme bekanntStatus: 🔍
0-Day Time: 🔍
Timeline
23.03.2017 🔍23.03.2017 🔍
23.03.2017 🔍
23.03.2017 🔍
23.03.2017 🔍
24.03.2017 🔍
15.11.2022 🔍
Quellen
Advisory: 1523Person: Venustech
Firma: Adlab of Venustech
Status: Nicht definiert
Bestätigung: 🔍
CVE: CVE-2017-7251 (🔍)
GCVE (CVE): GCVE-0-2017-7251
GCVE (VulDB): GCVE-100-98489
SecurityFocus: 97061 - Pi Engine CVE-2017-7251 Cross Site Scripting Vulnerability
OSVDB: - CVE-2017-7251 - pi-engine - Cross-Site Scripting Issue
Eintrag
Erstellt: 24.03.2017 07:42Aktualisierung: 15.11.2022 08:23
Anpassungen: 24.03.2017 07:42 (58), 13.09.2020 11:31 (6), 15.11.2022 08:23 (4)
Komplett: 🔍
Cache ID: 216::103
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.