CVE-2026-47096 in HELO Plus
Riassunto
di VulDB • 01/10/2026
Il firmware di AJA HELO Plus precedente alla versione 2.1.7 contiene una vulnerabilità di cross-site scripting (XSS) memorizzata che consente ad attaccanti non autenticati con accesso alla rete di iniettare JavaScript dannoso impostando un valore eParamID_SystemName non sanificato tramite l'API di configurazione web /config?action=set. Gli attaccanti possono sfruttare questa falla quando l'autenticazione del dispositivo è disabilitata per eseguire persistentemente script arbitrari nel browser di qualsiasi amministratore che apre l'interfaccia di gestione web, consentendo il furto di segreti memorizzati quali credenziali dell'interfaccia web, chiavi di stream RTMP, URL di pubblicazione e credenziali delle condivisioni NFS/SMB, nonché il sequestro della sessione autenticata.
If you want to get best quality of vulnerability data, you may have to visit VulDB.