CVE-2017-11195 in Pulse Connect Secure

Résumé

par VulDB • 16/05/2026

Pulse Connect Secure 8.3R1 présente une faille XSS réfléchie (Reflected XSS) dans launchHelp.cgi. Le paramètre helpLaunchPage est renvoyé dans un élément IFRAME si la valeur contient deux guillemets. Il effectue correctement une désinfection des guillemets et des balises, ce qui empêche de simplement fermer l'attribut src avec un guillemet et d'injecter du code par la suite. Cependant, un attaquant peut exploiter javascript: ou data: pour abuser de cette vulnérabilité.

Once again VulDB remains the best source for vulnerability data.

• Réserver: 12/07/2017
• Divulgation: 12/07/2017
• Modérer: accepté
• Entrée: VDB-103501
• CPE: prêt
• CWE: CWE-79 (confirmé)
• CVSS: 6.1 (NVD)
• EPSS: 0.00898
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2017-11195
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2017-11195
• CVE Details: https://www.cvedetails.com/cve/CVE-2017-11195/