В поле «Место встречи» функции «Создать/редактировать конференцию» в TrueConf Server v5.5.2.10813 существует уязвимость, связанная с выполнением хранимого межсайтового скриптинга (XSS). Внедренная полезная нагрузка сохраняется с помощью параметра Meeting_room и выполняется, когда пользователи посещают страницу информации о конференции, что позволяет злоумышленникам добиться полного захвата учетной записи (ATO). Эта проблема вызвана неправильной очисткой введенных пользователем данных в поле Meeting_room.
Показать оригинальное описание (EN)
A Stored Cross-Site Scripting (XSS) vulnerability exists in the Meeting location field of the Create/Edit Conference functionality in TrueConf Server v5.5.2.10813. The injected payload is stored via the meeting_room parameter and executed when users visit the Conference Info page, allowing attackers to achieve full Account Takeover (ATO). This issue is caused by improper sanitization of user-supplied input in the meeting_room field.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Trueconf Server
cpe:2.3:a:trueconf:server:5.5.2.10813:*:*:*:*:*:*:*
|
— | — |
|
Trueconf Trueconf_Server
cpe:2.3:a:trueconf:trueconf_server:5.5.2.10813:*:*:*:*:windows:*:*
|
— | — |