Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-04512

Опубликовано: 16 янв. 2020
Источник: fstec
CVSS3: 6.1
CVSS2: 5.8
EPSS Средний

Описание

Уязвимость каркаса для веб-сервисов Apache CXF связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить межсайтовую сценарную атаку

Вендор

Oracle Corp.
Apache Software Foundation

Наименование ПО

Oracle Retail Order Broker
Oracle Communications Element Manager
Oracle Communications Session Report Manager
Oracle Communications Session Route Manager
Oracle FLEXCUBE Private Banking
CXF

Версия ПО

15.0 (Oracle Retail Order Broker)
8.1.1 (Oracle Communications Element Manager)
8.2.0 (Oracle Communications Element Manager)
8.1.1 (Oracle Communications Session Report Manager)
8.2.0 (Oracle Communications Session Report Manager)
8.1.1 (Oracle Communications Session Route Manager)
8.2.0 (Oracle Communications Session Route Manager)
8.2.1 (Oracle Communications Element Manager)
8.2.1 (Oracle Communications Session Report Manager)
8.2.1 (Oracle Communications Session Route Manager)
12.0.0 (Oracle FLEXCUBE Private Banking)
12.1.0 (Oracle FLEXCUBE Private Banking)
от 3.2.0 до 3.2.12 включительно (CXF)
от 3.3.0 до 3.3.5 включительно (CXF)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,8)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Apache:
https://lists.apache.org/thread.html/rff42cfa5e7d75b7c1af0e37589140a8f1999e578a75738740b244bd4@%3Ccommits.cxf.apache.org%3E
Для программных продуктов Oracle:
https://www.oracle.com/security-alerts/cpujul2020.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 95%
0.16126
Средний

6.1 Medium

CVSS3

5.8 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.1
redhat
около 6 лет назад

By default, Apache CXF creates a /services page containing a listing of the available endpoint names and addresses. This webpage is vulnerable to a reflected Cross-Site Scripting (XSS) attack, which allows a malicious actor to inject javascript into the web page. Please note that the attack exploits a feature which is not typically not present in modern browsers, who remove dot segments before sending the request. However, Mobile applications may be vulnerable.

CVSS3: 6.1
nvd
около 6 лет назад

By default, Apache CXF creates a /services page containing a listing of the available endpoint names and addresses. This webpage is vulnerable to a reflected Cross-Site Scripting (XSS) attack, which allows a malicious actor to inject javascript into the web page. Please note that the attack exploits a feature which is not typically not present in modern browsers, who remove dot segments before sending the request. However, Mobile applications may be vulnerable.

CVSS3: 6.1
github
больше 5 лет назад

Reflected Cross-Site Scripting in Apache CXF

EPSS

Процентиль: 95%
0.16126
Средний

6.1 Medium

CVSS3

5.8 Medium

CVSS2