Ksenia Security lares (model legacy) w wersji 1.6 zawiera podatność otwartego redirectu w skrypcie 'cmdOk.xml', która pozwala atakującym manipulować parametrem GET 'redirectPage'. Atakujący mogą tworzyć złośliwe linki przekierowujące uwierzytelnionych użytkowników na dowolne strony internetowe poprzez kliknięcie specjalnie skonstruowanego odnośnika hostowanego na zaufanej domenie.
▸ Pokaż oryginał (EN)
Ksenia Security lares (legacy model) version 1.6 contains a URL redirection vulnerability in the 'cmdOk.xml' script that allows attackers to manipulate the 'redirectPage' GET parameter. Attackers can craft malicious links that redirect authenticated users to arbitrary websites when clicking on a specially constructed link hosted on a trusted domain.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XKseniasecurity Lares
HWKseniasecurity4.0Kseniasecurity Lares Firmware
OSKseniasecurity1.6
Powiązane podatności
Domyślne dane uwierzytelniające w Ksenia Security Lares – pełny dostęp administracyjny
RCE w Ksenia Security Lares przez niezabezpieczony endpoint uploadu MPFS
Ksenia Security Lares – ujawnienie kodu PIN systemu alarmowego