正文

Bottelet DayByDay CRM 跨站脚本漏洞

admin
admin V管理员 /0 评论 /14 阅读
0417
此篇文章发布距今已超过1120天，您需要注意文章的内容或图片是否可用！

CVE编号

CVE-2022-22112

利用情况

暂无

补丁情况

官方补丁

披露时间

2022-01-14
漏洞描述
Bottelet Daybyday Crm是Bottelet个人开发者的一个用于任务、时间、员工、休假管理的建站系统。
Bottelet DayByDay CRM 存在跨站脚本漏洞，该漏洞源于在 DayByDay CRM 中，版本 1.1 到 2.2.1（最新）遭受应用程序范围的客户端模板注入 (CSTI)。 低权限的攻击者可以在应用程序的不同位置输入模板注入有效负载，以在客户端浏览器上执行 JavaScript。
解决建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/Bottelet/DaybydayCRM/blob/2.2.1/resources/views/partials/clientheader.blade.php#L17
参考链接
https://github.com/Bottelet/DaybydayCRM/blob/2.2.1/resources/views/partials/c...
https://www.whitesourcesoftware.com/vulnerability-database/CVE-2022-22112
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 daybydaycrm daybyday * From
(including)
1.1 		Up to
(including)
2.2.1
阿里云评分 3.5
  • 攻击路径 远程
  • 攻击复杂度 复杂
  • 权限要求 无需权限
  • 影响范围 有限影响
  • EXP成熟度 未验证
  • 补丁情况 官方补丁
  • 数据保密性 数据泄露
  • 数据完整性 无影响
  • 服务器危害 无影响
  • 全网数量 N/A
CWE-ID 漏洞类型 CWE-79 在Web页面生成时对输入的转义处理不恰当（跨站脚本）