正文

OpenMRS Reporting Module跨站请求伪造漏洞

admin
admin V管理员 /0 评论 /26 阅读
0425
此篇文章发布距今已超过1096天，您需要注意文章的内容或图片是否可用！

CVE编号

CVE-2017-7990

利用情况

暂无

补丁情况

N/A

披露时间

2017-04-21
漏洞描述
OpenMRS是一个合作开源项目，旨在开发用于支持发展中国家医疗保健服务的软件。Reporting Module旨在提供功能丰富且用户友好的Web界面，用于管理OpenMRS中的报告。
Reporting Module存在跨站请求伪造漏洞。攻击者可进行跨站脚本攻击（管理认证被劫持，从而将JavaScript插入到webapp/reports/manageReports.jsp中的名称字段中），以此为基础进行跨站请求伪造攻击。
解决建议
厂商已发布漏洞修复程序，请及时关注更新：
https://github.com/openmrs/openmrs-module-reporting/pull/141/commits/0023a659288538d2763835847d3414ecb18b931a#diff-50e25eddc5909110fa3d31090877c2fd
参考链接
https://github.com/openmrs/openmrs-module-reporting/pull/141/commits/0023a659...
https://www.youtube.com/watch?v=pfrIaNvIuFY
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 openmrs openmrs_module_reporting 1.12.0 -
CVSS3评分 8.8
  • 攻击路径 网络
  • 攻击复杂度 低
  • 权限要求 无
  • 影响范围 未更改
  • 用户交互 需要
  • 可用性 高
  • 保密性 高
  • 完整性 高
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-352 跨站请求伪造（CSRF）