Vulnerabilidad en Zyxel Corporation (CVE-2023-35139)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
28/11/2023
Última modificación:
04/12/2023
Descripción
Una vulnerabilidad de Cross Site Scripting (XSS) en el programa CGI de las versiones de firmware:<br />
serie Zyxel ATP 5.10 a 5.37,<br />
serie USG FLEX 5.00 a 5.37, <br />
serie USG FLEX 50(W) 5.10 a 5.37, USG20(W), <br />
serie VPN 5.10 a 5.37 y <br />
serie VPN 5.00 a 5.37.<br />
Podrían permitir que un atacante basado en LAN no autenticado almacene scripts maliciosos en un dispositivo vulnerable. Un ataque XSS exitoso podría resultar en la ejecución de scripts maliciosos almacenados para robar cookies cuando el usuario visita el CGI específico utilizado para volcar registros ZTP.
Impacto
Puntuación base 3.x
6.10
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:o:zyxel:zld:*:*:*:*:*:*:*:* | 5.10 (incluyendo) | 5.37 (incluyendo) |
| cpe:2.3:h:zyxel:atp100:-:*:*:*:*:*:*:* | ||
| cpe:2.3:h:zyxel:atp100w:-:*:*:*:*:*:*:* | ||
| cpe:2.3:h:zyxel:atp200:-:*:*:*:*:*:*:* | ||
| cpe:2.3:h:zyxel:atp500:-:*:*:*:*:*:*:* | ||
| cpe:2.3:h:zyxel:atp700:-:*:*:*:*:*:*:* | ||
| cpe:2.3:h:zyxel:atp800:-:*:*:*:*:*:*:* | ||
| cpe:2.3:o:zyxel:zld:*:*:*:*:*:*:*:* | 5.00 (incluyendo) | 5.37 (incluyendo) |
| cpe:2.3:h:zyxel:usg_flex_100:-:*:*:*:*:*:*:* | ||
| cpe:2.3:h:zyxel:usg_flex_100w:-:*:*:*:*:*:*:* | ||
| cpe:2.3:h:zyxel:usg_flex_200:-:*:*:*:*:*:*:* | ||
| cpe:2.3:h:zyxel:usg_flex_50:-:*:*:*:*:*:*:* | ||
| cpe:2.3:h:zyxel:usg_flex_500:-:*:*:*:*:*:*:* | ||
| cpe:2.3:h:zyxel:usg_flex_50w:-:*:*:*:*:*:*:* | ||
| cpe:2.3:h:zyxel:usg_flex_700:-:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página