CVE-2011-2920
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 81 - wyżej niż 81% wszystkich znanych CVE
Streszczenie
W Spacewalk i Red Hat Network Satellite występuje luka cross-site scripting (XSS), która pozwala zdalnemu atakującemu wstrzyknąć dowolny skrypt lub HTML do stron internetowych poprzez różne pola wejściowe, np. pole „Filter by Synopsis”. Może to prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, potencjalnie compromising sesje lub ujawniając poufne informacje.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika lub wykraść poufne dane poprzez wykonanie złośliwego skryptu w przeglądarce ofiary. Ryzyko dotyczy administratorów i użytkowników korzystających z interfejsu webowego Spacewalk/Satellite.
Rekomendacja
Zaktualizuj Spacewalk i Red Hat Network Satellite do wersji zawierającej poprawkę. Wdroż dodatkowe zabezpieczenia przed XSS, takie jak nagłówki CSP.
Inne podatności w Spacewalk
Zobacz wszystkie- CVE-2011-3344Średnie
W Spacewalk występuje luka cross-site scripting (XSS) w formularzu Lookup Login/Password, która pozwala zdalnemu atakującemu wstrzyknąć dowolny skrypt lub HTML poprzez URI. Może to prowadzić do ujawnienia informacji lub nieautoryzowanych działań w sesji przeglądarki użytkownika.
- CVE-2011-2927Średnie
W Spacewalk i Red Hat Network Satellite występuje luka cross-site scripting (XSS), która pozwala zdalnym atakującym wstrzyknąć złośliwe skrypty lub HTML do stron przeglądanych przez innych użytkowników. Luka jest wywoływana poprzez wektory związane z formularzami wyszukiwania, umożliwiając atakującym kradzież poufnych informacji lub działania w imieniu ofiary.
- CVE-2011-1594Średnie
W Spacewalk, używanym w Red Hat Network Satellite, występuje luka open redirect, która pozwala zdalnym atakującym przekierować użytkowników na dowolne strony internetowe poprzez manipulację URL w parametrze url_bounce. Może to umożliwić atakującym przeprowadzanie ataków phishingowych, potencjalnie prowadząc do nieautoryzowanego ujawnienia informacji lub kradzieży danych uwierzytelniających.
- CVE-2009-4139Średnie
Podatność typu cross-site request forgery (CSRF) w pakietach Java Spacewalk. Zdalny atakujący może przejąć uwierzytelnienie dowolnych użytkowników, co umożliwia nieautoryzowane działania, takie jak wyłączanie kont, dodawanie nowych kont lub eskalacja uprawnień przez nadanie kontom uprawnień administratora.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Spacewalk and Red Hat Network Satellite. This cross-site scripting (XSS) vulnerability allows a remote attacker to inject arbitrary web script or HTML into web pages through various input fields, such as the "Filter by Synopsis" field. This could lead to the execution of malicious code in a user's web browser, potentially compromising user sessions or disclosing sensitive information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS