CVE-2019-17495

Опубликовано: 10 окт. 2019

Источник: nvd

CVSS3: 9.8

CVSS2: 7.5

EPSS Низкий

Описание

A Cascading Style Sheets (CSS) injection vulnerability in Swagger UI before 3.23.11 allows attackers to use the Relative Path Overwrite (RPO) technique to perform CSS-based input field value exfiltration, such as exfiltration of a CSRF token value. In other words, this product intentionally allows the embedding of untrusted JSON data from remote servers, but it was not previously known that @import within the JSON data was a functional attack method.

Ссылки

Уязвимые конфигурации

Конфигурация 1

cpe:2.3:a:smartbear:swagger_ui:*:*:*:*:*:*:*:*

Версия до 3.23.11 (исключая)

Конфигурация 2

Одно из

cpe:2.3:a:oracle:banking_apis:*:*:*:*:*:*:*:*

Версия от 18.1 (включая) до 18.3 (включая)

cpe:2.3:a:oracle:banking_apis:19.1:*:*:*:*:*:*:*

cpe:2.3:a:oracle:banking_apis:19.2:*:*:*:*:*:*:*

cpe:2.3:a:oracle:banking_apis:20.1:*:*:*:*:*:*:*

cpe:2.3:a:oracle:banking_apis:21.1:*:*:*:*:*:*:*

cpe:2.3:a:oracle:banking_digital_experience:*:*:*:*:*:*:*:*

Версия от 18.1 (включая) до 18.3 (включая)

cpe:2.3:a:oracle:banking_digital_experience:19.1:*:*:*:*:*:*:*

cpe:2.3:a:oracle:banking_digital_experience:19.2:*:*:*:*:*:*:*

cpe:2.3:a:oracle:banking_digital_experience:20.1:*:*:*:*:*:*:*

cpe:2.3:a:oracle:banking_digital_experience:21.1:*:*:*:*:*:*:*

cpe:2.3:a:oracle:banking_platform:*:*:*:*:*:*:*:*

Версия от 2.4.0 (включая) до 2.10.0 (включая)

cpe:2.3:a:oracle:primavera_gateway:*:*:*:*:*:*:*:*

Версия от 16.2.0 (включая) до 16.2.11 (включая)

cpe:2.3:a:oracle:primavera_gateway:*:*:*:*:*:*:*:*

Версия от 17.12.0 (включая) до 17.12.8 (включая)

cpe:2.3:a:oracle:utilities_framework:4.3.0.6.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:utilities_framework:4.4.0.0.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:utilities_framework:4.4.0.2.0:*:*:*:*:*:*:*

EPSS

Процентиль: 91%

0.06248

Низкий

9.8 Critical

CVSS3

7.5 High

CVSS2

Дефекты

CWE-352

Связанные уязвимости

CVE-2019-17495

CVSS3: 9.8

debian

больше 6 лет назад

A Cascading Style Sheets (CSS) injection vulnerability in Swagger UI b ...

GHSA-c427-hjc3-wrfw

CVSS3: 9.8

github

больше 6 лет назад

Cross-site scripting in Swagger-UI

BDU:2020-05182

CVSS3: 9.8

fstec

больше 6 лет назад

Уязвимость компонента Cascading Style Sheets (CSS) инструмента для создания интерактивной документации Swagger UI, позволяющая нарушителю осуществить межсайтовую сценарную атаку

EPSS

Процентиль: 91%

0.06248

Низкий

9.8 Critical

CVSS3

7.5 High

CVSS2

Дефекты

CWE-352