CVE-2020-9056 是 Periscope BuySpeed 14.5 版本中发现的存储型跨站脚本 (XSS) 漏洞。该漏洞允许经过身份验证的本地攻击者在应用程序中存储任意 JavaScript 代码。这些代码未经清理就显示给用户，并在用户的浏览器中执行，可能导致恶意行为。受影响的版本包括 14.5，建议尽快升级到 15.3 版本以修复此问题。
影响与攻击场景
攻击者可以利用此 XSS 漏洞将恶意 JavaScript 代码注入到 BuySpeed 应用程序中。当其他用户访问包含该恶意代码的页面时，代码将在他们的浏览器中执行。这可能导致多种攻击，包括网站重定向，将用户引导至恶意网站；会话劫持，窃取用户的登录凭据；以及信息泄露，获取敏感数据。由于该漏洞需要攻击者在系统中进行身份验证，因此攻击范围受到一定限制，但仍然可能对用户造成严重影响。
利用背景
目前没有公开的漏洞利用程序 (PoC) 可用，但该漏洞已公开披露。由于该漏洞需要身份验证，因此被 CISA 评定为低概率的威胁。建议密切关注安全社区的动态，以获取有关此漏洞的最新信息。
哪些人处于风险中翻译中…
Organizations utilizing Periscope BuySpeed version 14.5, particularly those with local authenticated users accessing the application, are at risk. Shared hosting environments where multiple users share the same BuySpeed instance are also potentially vulnerable.
攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
0.30% (54% 百分位)
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 本地 — 攻击者需要系统上的本地会话或Shell。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 低 — 任何有效用户账户均可。
- User Interaction
- 需要 — 受害者必须打开文件、点击链接或访问特制页面。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 无 — 无机密性影响。
- Integrity
- 低 — 攻击者可修改部分数据，影响有限。
- Availability
- 低 — 部分或间歇性拒绝服务。
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- 修改日期
- EPSS 更新日期
缓解措施和替代方案
最有效的缓解措施是立即将 BuySpeed 升级到 15.3 或更高版本，该版本已修复此漏洞。如果无法立即升级，可以尝试以下临时缓解措施：严格审查用户输入，过滤掉潜在的恶意脚本代码；实施内容安全策略 (CSP)，限制浏览器可以加载的资源；并定期扫描应用程序，查找可疑的 JavaScript 代码。升级后，请验证新版本是否已成功部署，并确认漏洞已得到修复。
修复方法
将 BuySpeed 更新到版本 15.3 或更高版本。此版本包含存储型 Cross-Site Scripting (XSS) 漏洞的修复。
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
什么是 CVE-2020-9056 — XSS 在 BuySpeed 中？
CVE-2020-9056 是 Periscope BuySpeed 14.5 版本中发现的存储型跨站脚本 (XSS) 漏洞，允许攻击者存储恶意 JavaScript 代码。
我是否受到 CVE-2020-9056 在 BuySpeed 中影响？
如果您正在使用 Periscope BuySpeed 14.5 版本，则可能受到此漏洞的影响。请尽快升级到 15.3 或更高版本。
我如何修复 CVE-2020-9056 在 BuySpeed 中？
最有效的修复方法是升级到 BuySpeed 15.3 或更高版本。如果无法升级，请实施临时缓解措施，如输入过滤和内容安全策略。
CVE-2020-9056 是否正在被积极利用？
目前没有公开的漏洞利用程序，但该漏洞已公开披露，建议保持警惕。
在哪里可以找到 Periscope 官方关于 CVE-2020-9056 的安全公告？
请访问 Periscope 的官方网站或安全公告页面，查找有关 CVE-2020-9056 的详细信息。