Yahoo! Webmail order/sort межсайтовый скриптинг

CVSS Meta Temp ScoreТекущая цена эксплойта (≈)Балл интереса CTI
5.2$0-$5k0.00

СводкаИнформация

В критический обнаружена уязвимость, классифицированная как Yahoo! Webmail. Поражена неизвестная функция. Осуществление манипуляции над аргументом order/sort приводит к межсайтовый скриптинг. Атака может быть инициирована удаленно. Более того, существует эксплойт. Рекомендуется отключить затронутый компонент.

ПодробностиИнформация

В критический обнаружена уязвимость, классифицированная как Yahoo! Webmail. Поражена неизвестная функция. Осуществление манипуляции над аргументом order/sort приводит к межсайтовый скриптинг. Декларирование проблемы с помощью CWE приводит к CWE-80. Информация о слабости была опубликована 15.03.2004 автором Rafel Ivgi (The Insider) (Веб-сайт). Консультация доступна для скачивания по адресу securiteam.com.

Атака может быть инициирована удаленно. Имеются технические подробности. Уровень популярности этой уязвимости превышает средний. Более того, существует эксплойт. Текущая цена за эксплойт может составлять около USD $0-$5k в настоящее время. В проекте MITRE ATT&CK эта техника атаки обозначена как T1059.007.

Задано как Доказательство концепции. Эксплойт доступен по адресу securiteam.com. В случае 0-day эксплойта, предполагаемая цена на подпольном рынке была около $5k-$25k. .

Исправление готово для загрузки по адресу finjan.com. Рекомендуется отключить затронутый компонент.

ПродуктИнформация

Поставщик

Имя

Лицензия

Веб-сайт

CPE 2.3Информация

CPE 2.2Информация

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 5.5
VulDB Meta Temp Score: 5.2

VulDB Базовый балл: 5.5
VulDB Временная оценка: 5.2
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv2Информация

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
ВекторСложностьАутентификацияКонфиденциальностьЦелостностьДоступность
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

ЭксплуатацияИнформация

Класс: межсайтовый скриптинг
CWE: CWE-80 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔍
Статус: Доказательство концепции
Скачать: 🔍
Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-DayРазблокироватьРазблокироватьРазблокироватьРазблокировать
СегодняРазблокироватьРазблокироватьРазблокироватьРазблокировать

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: Отключить
Статус: 🔍

0-дневное время: 🔍

Патч: finjan.com

ХронологияИнформация

15.03.2004 🔍
15.03.2004 +0 дни 🔍
27.06.2019 +5582 дни 🔍

ИсточникиИнформация

Поставщик: yahoo.com

Консультация: securiteam.com⛔
Исследователь: Rafel Ivgi (The Insider)
Статус: Не определено

GCVE (VulDB): GCVE-100-559
SecuriTeam: securiteam.com

ВходИнформация

Создано: 15.03.2004 10:36
Обновлено: 27.06.2019 22:08
Изменения: 15.03.2004 10:36 (49), 27.06.2019 22:08 (1)
Завершенный: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

Обсуждение

Комментариев пока нет. Языки: ru + be + en.

Пожалуйста, войдите в систему, чтобы прокомментировать.

◂ ПредыдущийОбзорДалее ▸

Do you need the next level of professionalism?

Upgrade your account now!