An exploitable reflected Cross-Site Scripting vulnerability exists in the Web Application functionality of Moxa AWK-3131A Wireless Access Po

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• moxa awk-3131a firmware1.1

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (talos). Не зависят от анализа CPE в NVD и обычно опережают его.

• Moxa AWK-3131A Series Industrial IEEE 802.11a/b/g/n wireless AP/bridge/client

  • 1.1затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2017-14459An exploitable OS Command Injection vulnerability exists in the Telnet, SSH, and console login functionality of Moxa AWK-3131A Industrial IE
  43В плане
• CVE-2019-5138An exploitable command injection vulnerability exists in encrypted diagnostic script functionality of the Moxa AWK-3131A firmware version 1.
  41В плане
• CVE-2016-8717An exploitable Use of Hard-coded Credentials vulnerability exists in the Moxa AWK-3131A Wireless Access Point running firmware 1.1.
  40В плане
• CVE-2016-8721An exploitable OS Command Injection vulnerability exists in the web application 'ping' functionality of Moxa AWK-3131A Wireless Access Point
  37Наблюдать
• CVE-2019-5162An exploitable improper access control vulnerability exists in the iw_webs account settings functionality of the Moxa AWK-3131A firmware ver
  36Наблюдать
• CVE-2019-5153An exploitable remote code execution vulnerability exists in the iw_webs configuration parsing functionality of the Moxa AWK-3131A firmware
  36Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Пользовательский контент вставляется в страницу как HTML. Браузер интерпретирует его как код, а не как данные.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1commentEl.innerHTML = comment.body;

1commentEl.textContent = comment.body;

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.