Style Publisher 中的 GeoServer 存储的跨站点脚本 (XSS) 漏洞 (CVE-2024-23640)
CVE编号
CVE-2024-23640利用情况
暂无补丁情况
N/A披露时间
2024-03-21漏洞描述
GeoServer是一个用Java编写的开源软件服务器，允许用户共享和编辑地理空间数据。在版本2.23.3之前和2.24.0中存在一个存储型跨站脚本（XSS）漏洞，使得具有工作空间级别权限的经过身份验证的管理员能够将JavaScript payload存储在上传的样式/图例资源中或者特别设计的数据存储文件中，当在样式发布器中查看时将在另一个用户的浏览器上下文中执行。虽然所有用户都可以访问样式发布器，但数据安全可能会限制用户触发XSS的能力。版本2.23.3和2.24.0中包含了对此问题的修复。解决建议
"将组件 org.geoserver:gs-ows 升级至 2.23.3 及以上版本""将组件 org.geoserver:gs-main 升级至 2.23.3 及以上版本"- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 高
- 影响范围 已更改
- 用户交互 需要
- 可用性 无
- 保密性 低
- 完整性 低
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论