Zoho ManageEngine OpManager 12100/12200 DNS Name 跨网站脚本

历史差异连接jsonxmlCTI

CVSS 元临时分数	当前攻击价格 (≈)	CTI兴趣分数
3.9	$0-$5k	0.00

摘要信息

在Zoho ManageEngine OpManager 12100/12200中曾发现分类为棘手的漏洞。被影响的是未知函数，属于DNS Name Handler组件。当输入<script>alert('XSS');</script>example.com被操控时，会导致跨网站脚本。攻击可能远程发起，此外，存在可用的漏洞利用。建议对受影响组件进行升级。

在Zoho ManageEngine OpManager 12100/12200中曾发现分类为棘手的漏洞。被影响的是未知函数，属于DNS Name Handler组件。当输入<script>alert('XSS');</script>example.com被操控时，会导致跨网站脚本。通过 CWE 声明此问题将指向 CWE-80。此漏洞的脆弱性 2016-11-20由公示人Michael Heydon、公示人身份Multiple issues in OpManager 12100 & 12200、公示人类型为Mailinglist Post (Full-Disclosure)所披露。您可以在 seclists.org 下载该通告。此次公开发布曾与供应商合作协调。

攻击可能远程发起，技术细节已提供。该漏洞的普及率低于常规水平。此外，存在可用的漏洞利用。漏洞利用已被公开，可能会被利用。当前，大致为 USD $0-$5k。 MITRE ATT&CK 项目将攻击技术声明为 T1059.007。

若有长度，则其被标记为概念验证。漏洞利用工具已在seclists.org共享下载。该漏洞在至少 92 天内被作为非公开的零日漏洞利用进行处理。我们估计的零日攻击价值约为$0-$5k。

更新到 12200 版本能够解决该问题。建议对受影响组件进行升级。如果在漏洞披露后此前未曾发布了可能的缓解措施。