Уязвимость межсайтового скриптинга (XSS) в Microsoft Office SharePoint из-за некорректной обработки специальным образом сформированного веб-запроса сервером SharePoint
Описание
Когда Microsoft SharePoint Server некорректно обрабатывает специально сформированный веб-запрос к уязвимому серверу SharePoint, возникает уязвимость межсайтового скриптинга (XSS). Эта уязвимость позволяет злоумышленнику выполнять XSS-атаки на уязвимых системах и запускать скрипты в контексте безопасности текущего пользователя.
Условия эксплуатации
Аутентифицированный злоумышленник может воспользоваться этой уязвимостью, отправив специальным образом сформированный запрос к уязвимому серверу SharePoint. Успешная эксплуатация позволяет злоумышленнику:
- Читать содержимое, к которому он не имеет прав доступа.
- Использовать личность жертвы для выполнения действий от ее имени на сайте SharePoint, таких как изменение разрешений и удаление контента.
- Внедрять вредоносный контент в браузер пользователя.
Решение
Обновление безопасности устраняет уязвимость за счет обеспечения корректной обработки веб-запросов сервером SharePoint.
Обновления
| Продукт | Статья | Обновление |
|---|---|---|
| Microsoft SharePoint Foundation 2013 Service Pack 1 | ||
| Microsoft SharePoint Enterprise Server 2016 |
Показывать по
Возможность эксплуатации
Publicly Disclosed
Exploited
Latest Software Release
Older Software Release
DOS
EPSS
Связанные уязвимости
A cross-site-scripting (XSS) vulnerability exists when Microsoft SharePoint Server does not properly sanitize a specially crafted web request to an affected SharePoint server, aka 'Microsoft Office SharePoint XSS Vulnerability'.
A cross-site-scripting (XSS) vulnerability exists when Microsoft SharePoint Server does not properly sanitize a specially crafted web request to an affected SharePoint server, aka 'Microsoft Office SharePoint XSS Vulnerability'.
Уязвимость системы управления проектами и контроля версий Team Foundation Server и программного обеспечения для электронного документооборота Microsoft SharePoint Foundation, существующая из-за непринятия мер по защите структуры веб-страницы, позволяющая нарушителю выполнить произвольный код в браузере пользователя
EPSS