Reflected XSS in ATutor

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (CERT-PL). Не зависят от анализа CPE в NVD и обычно опережают его.

• ATutor ATutor

  • 2.2.4затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2016-2555SQL injection vulnerability in include/lib/mysql_connect.inc.php in ATutor 2.2.1 allows remote attackers to execute arbitrary SQL commands v
  63На этой неделе
• CVE-2019-12169ATutor 2.2.4 allows Arbitrary File Upload and Directory Traversal, resulting in remote code execution via a ".." pathname in a ZIP archive t
  57В плане
• CVE-2017-1000002ATutor versions 2.2.1 and earlier are vulnerable to a directory traversal and file extension check bypass in the Course component resulting
  48В плане
• CVE-2014-9753confirm.php in ATutor 2.2 and earlier allows remote attackers to bypass authentication and gain access as an existing user via the auto_logi
  40В плане
• CVE-2019-16114In ATutor 2.2.4, an unauthenticated attacker can change the application settings and force it to use his crafted database, which allows him
  40В плане
• CVE-2017-1000004ATutor version 2.2.1 and earlier are vulnerable to a SQL injection in the Assignment Dropbox, BasicLTI, Blog Post, Blog, Group Course Email,
  40В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Пользовательский контент вставляется в страницу как HTML. Браузер интерпретирует его как код, а не как данные.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1commentEl.innerHTML = comment.body;

1commentEl.textContent = comment.body;

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.