Er is een cross-site scripting (XSS) kwetsbaarheid ontdekt in de Admin Login pagina van Allworx System Software versie 9.1.9.12. Deze kwetsbaarheid, aangeduid met CVE-2024-36697, stelt aanvallers in staat om willekeurige webscripts of HTML uit te voeren via de SessionID parameter in query.asp.
De impact hiervan kan serieuze gevolgen hebben, vooral omdat kwaadwillenden in staat zijn om de sessies van gebruikers over te nemen zonder de noodzaak van hoge privileges, hoewel gebruikersinteractie wel vereist is.
Overzicht
Deze XSS-kwetsbaarheid is een gevolg van onvoldoende neutralisatie van invoer tijdens de webpaginageneratie. Het probleem valt onder CWE-79. Dit betekent dat kwaadwillenden via het netwerk een laagdrempelige aanval kunnen uitvoeren.
Bronnen
Vraag en Antwoord
Wat is CVE-2024-36697?
Een kwetsbaarheid die aanvallers toelaat om scripts uit te voeren door gebruik te maken van een fout in het administratiepaneel van de Allworx software.
Welke systemen zijn kwetsbaar voor CVE-2024-36697?
Het betreft systemen die draaien op Allworx System Software versie 9.1.9.12.
Bestaat er al een patch of beveiligingsupdate?
Er zijn momenteel geen updates beschikbaar. Controleer regelmatig de officiële Allworx website voor updates.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan willekeurige webscripts of HTML code uitvoeren, wat kan leiden tot sessiekaping of datadiefstal.
