PT-2025-16916
CVE-2025-24909
·
تاريخ النشر
2025-04-16
·
تاريخ التحديث
2025-04-17
الوصف من
CVSS 3.1
4.4
متوسطةالمقاييسAV:N/AC:H/PR:H/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Hitachi Vantara Pentaho Business Analytics Server الإصدارات الأقدم من 10.2.0.2
Hitachi Vantara Pentaho Business Analytics Server الإصدارات 9.3.x
Hitachi Vantara Pentaho Business Analytics Server الإصدارات 8.3.x
الوصف
لا يقوم البرنامج بتحييد المدخلات التي يمكن للمستخدم التحكم فيها أو يقوم بتحييدها بشكل غير صحيح قبل إدراجها في المخرجات المستخدمة كصفحة ويب يتم تقديمها للمستخدمين الآخرين. وهذا يسمح لعنوان URL ضار بإدخال محتوى في واجهة المكون الإضافي Analyzer، مما يتيح للمهاجم القيام بأنشطة ضارة. يمكن للمهاجم نقل معلومات خاصة، مثل ملفات تعريف الارتباط التي قد تتضمن معلومات الجلسة، من جهاز الضحية إلى جهاز المهاجم. كما يمكن للمهاجم إرسال طلبات ضارة إلى موقع ويب نيابة عن الضحية.
التوصيات
بالنسبة للإصدارات الأقدم من 10.2.0.2، قم بالتحديث إلى الإصدار 10.2.0.2 أو أحدث لحل المشكلة.
بالنسبة للإصدارات 9.3.x و8.3.x، قم بالتحديث إلى الإصدار 10.2.0.2 أو أحدث لحل المشكلة.
كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى واجهة المكون الإضافي Analyzer حتى يتوفر تصحيح.
تجنب استخدام عناوين URL الخبيثة لمنع حقن المحتوى في واجهة المكون الإضافي Analyzer.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾