Apache Wicket तक 1.5.14/6.21.x/7.1.x ModalWindow Title getWindowOpenJavaScript क्रॉस साइट स्क्रिप्टिंग

CVSS मेटा अस्थायी स्कोर	वर्तमान एक्सप्लॉइट मूल्य (≈)	CTI रुचि स्कोर
5.9	$0-$5k	0.00

सारांशजानकारी

एक सुरक्षा कमजोरी, जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Apache Wicket तक 1.5.14/6.21.x/7.1.x में पाई गई है। प्रभावित किया गया है फ़ंक्शन getWindowOpenJavaScript फ़ाइल org.apache.wicket.extensions.ajax.markup.html.modal.ModalWindow का घटक ModalWindow Title Handler का। यह संशोधन <i onclick=alert(1)>stuff</i> डेटा क्रॉस साइट स्क्रिप्टिंग का कारण बन सकता है। यह भेद्यता CVE-2015-5347 के रूप में जानी जाती है। हमला दूरस्थ रूप से शुरू किया जा सकता है। कोई शोषण उपलब्ध नहीं है. प्रभावित कंपोनेंट को अपग्रेड करना उचित रहेगा।

विवरणजानकारी

एक सुरक्षा कमजोरी, जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Apache Wicket तक 1.5.14/6.21.x/7.1.x में पाई गई है। प्रभावित किया गया है फ़ंक्शन getWindowOpenJavaScript फ़ाइल org.apache.wicket.extensions.ajax.markup.html.modal.ModalWindow का घटक ModalWindow Title Handler का। यह संशोधन <i onclick=alert(1)>stuff</i> डेटा क्रॉस साइट स्क्रिप्टिंग का कारण बन सकता है। CWE के माध्यम से समस्या घोषित करने पर CWE-79 मिलता है। इस कमजोरी को प्रकाशित किया गया था 12/04/2016 के रूप में WICKET-6037 के रूप में Bug Report (वेबसाइट). सलाह issues.apache.org पर डाउनलोड हेतु साझा की गई है।

यह भेद्यता CVE-2015-5347 के रूप में जानी जाती है। 01/07/2015 पर CVE आवंटित किया गया था. हमला दूरस्थ रूप से शुरू किया जा सकता है। टेक्निकल जानकारी उपलब्ध है. इस भेद्यता की लोकप्रियता सामान्य स्तर से नीचे है। कोई शोषण उपलब्ध नहीं है. अभी के लिए एक्सप्लॉइट की कीमत might be approx. USD $0-$5k है। यदि T1059.007 की लंबाई है, तो MITRE ATT&CK परियोजना इस हमले की तकनीक को T1059.007 के रूप में घोषित करती है। यह भेद्यता इस कोड के हिस्से के कारण है:

Object title = getTitle() != null ? getTitle().getObject() : null;
if (title != null)
{ appendAssignment(buffer, "settings.title", escapeQuotes(title.toString())); }

यह परिभाषित नहीं के रूप में घोषित है। 0-डे के लिए अनुमानित भूमिगत कीमत लगभग $5k-$25k थी.

यदि आप 1.5.15, 6.22.0 , 7.2.0 संस्करण में अपग्रेड करते हैं, तो यह समस्या हल हो सकती है। प्रभावित कंपोनेंट को अपग्रेड करना उचित रहेगा।

यह कमज़ोरी अन्य कमज़ोरी डेटाबेस में भी उपलब्ध है: Vulnerability Center (SBV-58178).

उत्पादजानकारी

विक्रेता

• Apache

नाम

• Wicket

संस्करण

• 1.5.0
• 1.5.1
• 1.5.2
• 1.5.3
• 1.5.4
• 1.5.5
• 1.5.6
• 1.5.7
• 1.5.8
• 1.5.9
• 1.5.10
• 1.5.11
• 1.5.12
• 1.5.13
• 1.5.14
• 6.0
• 6.1
• 6.2
• 6.3
• 6.4
• 6.5
• 6.6
• 6.7
• 6.8
• 6.9
• 6.10
• 6.11
• 6.12
• 6.13
• 6.14
• 6.15
• 6.16
• 6.17
• 6.18
• 6.19
• 6.20
• 6.21
• 7.0
• 7.1

लाइसेंस

• खुला स्रोत

वेबसाइट

• विक्रेता: https://www.apache.org/

CPE 2.3जानकारी

• 🔍
• 🔍
• 🔍

CPE 2.2जानकारी

• 🔍
• 🔍
• 🔍

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 6.1
VulDB मेटा अस्थायी स्कोर: 5.9

VulDB मूल स्कोर: 6.1
VulDB अस्थायी स्कोर: 5.8
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 6.1
NVD वेक्टर: 🔍

CVSSv2जानकारी

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

सदिश	जटिलता	प्रमाणीकरण	गोपनीयता	अखंडता	उपलब्धता
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 🔍

शोषणजानकारी

वर्ग: क्रॉस साइट स्क्रिप्टिंग
CWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ

उपलब्धता: 🔍
स्थिति: परिभाषित नहीं

EPSS Score: 🔍
EPSS Percentile: 🔍

मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Day	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
आज	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

OpenVAS ID: 100797
OpenVAS नाम: Apache Wicket Multiple Cross-site scripting Vulnerabilities May16
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: अपग्रेड
स्थिति: 🔍

0-दिवसीय समय: 🔍

अपग्रेड: Wicket 1.5.15/6.22.0/7.2.0

समयरेखाजानकारी

01/07/2015 🔍
19/11/2015 +141 दिन 🔍
12/04/2016 +144 दिन 🔍
12/04/2016 +0 दिन 🔍
12/04/2016 +0 दिन 🔍
13/04/2016 +1 दिन 🔍
14/04/2016 +1 दिन 🔍
13/07/2022 +2281 दिन 🔍

स्रोतजानकारी

विक्रेता: apache.org

सलाह: WICKET-6037
स्थिति: पुष्टि की गई
पुष्टि: 🔍

CVE: CVE-2015-5347 (🔍)
GCVE (CVE): GCVE-0-2015-5347
GCVE (VulDB): GCVE-100-82213
SecurityTracker: 1035165
Vulnerability Center: 58178 - Apache Wicket XSS Vulnerability in the GetWindowOpenJavaScript Function, Medium

यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 13/04/2016 09:59 AM
अद्यतनित: 13/07/2022 06:51 PM
परिवर्तन: 13/04/2016 09:59 AM (66), 04/02/2019 02:56 PM (10), 13/07/2022 06:51 PM (3)
पूर्ण: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

चर्चा

Want to stay up to date on a daily basis?

Enable the mail alert feature now!