Zabbix 6.x < 6.0.37rc1 / 6.4.x < 6.4.21rc1 / 7.0.x < 7.0.7rc1 の XSS (ZBX-26254)

high Nessus プラグイン ID 233862

Language:

概要

リモートホストで実行されているウェブアプリケーションは、反射型クロスサイトスクリプティングの脆弱性の影響を受けます。

説明

リモートホストにインストールされているバージョンの Zabbix は、折り返し型クロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。エンドポイント /zabbix.php?action=export.valuemaps は、backurl パラメーターを介したクロスサイトスクリプティングの脆弱性の影響を受けます。これは、適切な HTML エスケープまたは出力エンコーディングがない、ユーザー指定のデータのリフレクションが原因です。その結果、JavaScript ペイロードが上記のエンドポイントに注入され、被害者のブラウザのコンテキスト内で実行される可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。