An issue was discovered in OverIT Geocall before 8.0. An authenticated user who has the Test Trasformazione XSL functionality enabled can e…
An issue was discovered in OverIT Geocall before 8.0. An authenticated user who has the Test Trasformazione XSL functionality enabled can exploit a XSLT Injection vulnerability. Attackers could exploit this issue to achieve remote code execution.
Продукт не нейтрализует должным образом специальные элементы, используемые в XML, что позволяет злоумышленникам изменять синтаксис, содержимое или команды XML до его обработки конечной системой.
https://cwe.mitre.org/data/definitions/91.html →Открыть в коллекции CWE →Злоумышленник может формировать специальный пользовательский ввод, содержащий XPath-выражения, для инъекции в XML-базу данных с целью обхода аутентификации или получения информации, к которой у него обычно нет доступа. XPath-инъекция позволяет злоумышленнику взаимодействовать непосредственно с XML-базой данных, полностью обходя приложение. XPath-инъекция является следствием некорректной санитизации входных данных приложением, используемых в составе динамических XPath-выражений для запросов к XML-базе данных.
https://capec.mitre.org/data/definitions/83.html →Открыть в коллекции CAPEC →Злоумышленник использует специально созданные управляемые пользователем XML-входные данные для зондирования, атаки и внедрения данных в XML-базу данных, применяя техники, аналогичные внедрению SQL-кода. Управляемые пользователем входные данные могут обеспечить несанкционированный просмотр данных, обход аутентификации или фронтального приложения для прямого доступа к XML-базе данных, а также потенциальное изменение информации в базе данных.
https://capec.mitre.org/data/definitions/250.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| geocall | * | Отслеживается |