Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-08273

Опубликовано: 22 мар. 2025
Источник: fstec
CVSS3: 4.6
CVSS2: 4.8
EPSS Низкий

Описание

Уязвимость операционной системы RouterOS маршрутизаторов MikroTik связана с недостаточной проверкой входных данных при обработке параметра dst . Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки

Вендор

MikroTik

Наименование ПО

RouterOS

Версия ПО

до 7.19.2 (RouterOS)

Тип ПО

Операционная система

Операционные системы и аппаратные платформы

MikroTik RouterOS до 7.19.2

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,8)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,6)
Средний уровень опасности (оценка CVSS 4.0 составляет 4,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://mikrotik.com/download/changelogs

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 52%
0.00286
Низкий

4.6 Medium

CVSS3

4.8 Medium

CVSS2

Связанные уязвимости

nvd
7 месяцев назад

A cross-site scripting vulnerability is present in the hotspot of MikroTik's RouterOS on versions below 7.19.2. An attacker can inject the `javascript` protocol in the `dst` parameter. When the victim browses to the malicious URL and logs in, the XSS executes. The POST request used to login, can also be converted to a GET request, allowing an attacker to send a specifically crafted URL that automatically logs in the victim (into the attacker's account) and triggers the payload.

github
7 месяцев назад

A cross-site scripting vulnerability is present in the hotspot of MikroTik's RouterOS on versions below 7.19.2. An attacker can inject the `javascript` protocol in the `dst` parameter. When the victim browses to the malicious URL and logs in, the XSS executes. The POST request used to login, can also be converted to a GET request, allowing an attacker to send a specifically crafted URL that automatically logs in the victim (into the attacker's account) and triggers the payload.

EPSS

Процентиль: 52%
0.00286
Низкий

4.6 Medium

CVSS3

4.8 Medium

CVSS2