In de versies 10.9.1 tot en met 11.4 van Portal for ArcGIS Enterprise Sites is een opgeslagen Cross-site Scripting (XSS) kwetsbaarheid ontdekt, aangeduid als CVE-2025-55103. Een externe, geauthenticeerde aanvaller kan mogelijk een schadelijk bestand injecteren met een ingebed XSS-script. Dit kan leiden tot het uitvoeren van willekeurige JavaScript-code in de browser van het slachtoffer. Dit kan resulteren in de onthulling van een geprivilegieerd token en mogelijk volledige controle over de Portal.
Hoewel de vereiste privileges voor deze aanval hoog zijn, is de complexiteit laag. Het vormt een middenmatig risico dat niet genegeerd moet worden, vooral vanwege de mogelijke impact op integriteit en vertrouwelijkheid.
Overzicht
De kwetsbaarheid stelt kwaadwillenden in staat om JavaScript-code te injecteren en uit te voeren binnen de browser van een geauthenticeerde gebruiker van het systeem. Hierdoor kan gevoelige informatie worden vrijgegeven aan de aanvaller.
Platform: Windows
Product: Portal for ArcGIS Enterprise Sites
Betrokken versies: 10.9.1 tot en met 11.4
Aanbevelingen
- Controleer of er een patch of beveiligingsupdate beschikbaar is voor de betrokken versies en breng deze direct aan.
- Zorg ervoor dat de systeemconfiguratie en toegangsrechten regelmatig worden gecontroleerd en alleen noodzakelijke toegang wordt verleend.
Bronnen
Vraag en Antwoord
Wat is CVE-2025-55103?
Het is een CVE-duiding voor een opgeslagen XSS-kwetsbaarheid in bepaalde versies van Esri Portal for ArcGIS Enterprise Sites.
Welke systemen zijn kwetsbaar voor CVE-2025-55103?
De kwetsbare systemen zijn Windows-platformen die draaien op Portal for ArcGIS Enterprise Sites versies 10.9.1 tot en met 11.4.
Bestaat er al een patch of beveiligingsupdate?
Controleer de Esri beveiligingsblog en systeemupdates om na te gaan of er een patch beschikbaar is. Het wordt sterk aanbevolen direct te updaten zodra er een patch vrijgegeven wordt.
Wat kan een aanvaller met deze kwetsbaarheid?
De aanvaller kan via een XSS-aanval toegang krijgen tot geprivilegieerde tokens en mogelijk het systeem volledig overnemen.
