SilverStripe在4.4.5之前的4.4.x和4.5.2之前的4.5.x允许Reflected XSS

CVE编号

CVE-2019-19325

利用情况

暂无

补丁情况

N/A

披露时间

2020-02-18

漏洞描述

SilverStripe4.4.x到4.5.2之前4.4.5和4.5.x之前允许在登录表单和自定义表单上的反映的XSS。 Silverstripe Forms允许通过非标量Form Field属性插入恶意HTML或Java脚本，该属性允许在用户输入（输入(请求数据）构建的表单上执行XSS（交叉脚本）。 这可能导致网络钓鱼试图获得用户的凭据或其他敏感的用户输入。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.silverstripe.org/download/security-releases/cve-2019-19325

参考链接
https://www.silverstripe.org/download/security-releases/cve-2019-19325

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	silverstripe	silverstripe	*	From (including) 4.4.0	Up to (excluding) 4.4.5
	运行在以下环境
	应用	silverstripe	silverstripe	*	From (including) 4.5.0	Up to (excluding) 4.5.2

CVSS3评分 6.1

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 已更改
• 用户交互 需要
• 可用性 无
• 保密性 低
• 完整性 低

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CWE-ID 漏洞类型 CWE-79 在Web页面生成时对输入的转义处理不恰当（跨站脚本）