Cisco IOS XE 軟體已儲存標題 XSS (cisco-sa-20190925-sbxss)

medium Nessus Plugin ID 129826

語系：

概要

遠端裝置缺少廠商提供的安全性修補程式

說明

根據其自我報告的版本，Cisco IOS XE 軟體受到一個跨網站指令碼弱點影響，經驗證的遠端攻擊者可藉此使用標題參數，對受影響軟體的 Web 介面使用者發動已儲存的跨網站指令碼 (XSS) 攻擊。存在此弱點是因為對傳遞至受影響軟體之 Web 伺服器的標題參數輸入驗證不足所致。攻擊者可惡意利用此弱點，建立特製標題參數並儲存該參數。然後，攻擊者即可誘騙 Web 介面的使用者存取惡意連結，或是攔截使用者對受影響 Web 介面提出的要求並在要求中插入惡意程式碼。成功惡意利用此弱點的攻擊者可在受影響 Web 介面的環境中執行任意程式碼，或讓攻擊者得以存取敏感的瀏覽器資訊。

如需詳細資訊，請參閱隨附的 Cisco BID 和 Cisco 安全性公告。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。