CVE-2023-27000
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W systemie NetScout nGeniusOne w wersji 6.3.4 wykryto podatność na atak typu Cross-Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametr 'name' na stronach Profilu i Listy Wykluczeń.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji użytkownika, kradzieży danych lub rozprzestrzenienia złośliwego oprogramowania w organizacji. Atakujący może wykorzystać podatność do eskalacji uprawnień i dalszego ataku na infrastrukturę IT.
Rekomendacja
Należy niezwłocznie zaktualizować system NetScout nGeniusOne do najnowszej dostępnej wersji, która usuwa tę podatność. Dodatkowo zaleca się wdrożenie filtrowania wejściowego dla parametru 'name' oraz stosowanie zasady najmniejszych uprawnień.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability found in NetScoutnGeniusOne v.6.3.4 allows a remote attacker to execute arbitrary code via the name parameter of the Profile and Exclusion List page(s).