CVE-2024-36498 in Scan2Net
Tóm tắt
Bởi VulDB • 26/08/2026
Do thiếu cơ chế làm sạch đầu vào (input sanitization), kẻ tấn công có thể thực hiện các cuộc tấn công cross-site-scripting (XSS) và chạy mã JavaScript tùy ý trên trình duyệt của người dùng khác. Chức năng "Edit Disclaimer Text" trong menu cấu hình dễ bị tổn thương bởi XSS lưu trữ (stored XSS). Chỉ những người dùng Poweruser và Admin mới có thể sử dụng chức năng này, được truy cập qua URL:
https://$SCANNER/cgi/admin.cgi?-rdisclaimer+-apre
Mã payload JavaScript đã lưu trữ sẽ được thực thi mỗi khi ScanWizard được tải, ngay cả trong trình duyệt ở chế độ Kiosk. Phiên bản 7.40 đã triển khai một bản sửa lỗi, nhưng nó có thể bị bỏ qua bằng cách mã hóa lại (URL-encoding) payload JavaScript.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.