Podatność CVE-2021-33570
Publikacja: 2021-05-25   Modyfikacja: 2021-05-26

Opis:
Postbird 0.8.4 allows stored XSS via the onerror attribute of an IMG element in any PostgreSQL database table. This can result in reading local files via vectors involving XMLHttpRequest and open of a file:/// URL, or discovering PostgreSQL passwords via vectors involving Window.localStorage and savedConnections.

W naszej bazie, znaleźliśmy następujące noty dla tego CVE:
Tytuł
Autor
Data
Med.
Postbird 0.8.4 Cross Site Scripting / Local File Inclusion
Debshubra Chakra...
27.05.2021

Typ:

CWE-79

 (Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting'))

CVSS2 => (AV:N/AC:M/Au:S/C:N/I:P/A:N)

Ogólna skala CVSS
Znaczenie
Łatwość wykorzystania
3.5/10
2.9/10
6.8/10
Wymagany dostęp
Złożoność ataku
Autoryzacja
Zdalny
Średnia
Jednorazowa
Wpływ na poufność
Wpływ na integralność
Wpływ na dostępność
Brak
Częściowy
Brak
Affected software
Postbird project -> Postbird 

 Referencje:
https://github.com/Tridentsec-io/postbird
https://github.com/Paxa/postbird/issues/134
https://github.com/Paxa/postbird/issues/132
https://github.com/Paxa/postbird/issues/133
http://packetstormsecurity.com/files/162831/Postbird-0.8.4-Cross-Site-Scripting-Local-File-Inclusion.html
http://packetstormsecurity.com/files/162872/Postbird-0.8.4-XSS-LFI-Insecure-Data-Storage.html
Copyright 2024, cxsecurity.com

 

Back to Top