Une vulnérabilité dans l’interface de gestion Web de Bosch Praesideo jusqu’à et y compris la version 4.41 et Bosch PRAESENSA jusqu’à et y compris la version 1.10 permet à un attaquant distant authentifié avec des privilèges d’administrateur pour monter un stocké Cross-Site-Scripting (XSS) attaque contre un autre utilisateur. Lorsque la victime se connecte à l’interface de gestion, le code de script stocké est exécuté dans le contexte de son navigateur. Une exploitation réussie permettrait à un attaquant d’interagir avec l’interface de gestion avec les privilèges de la victime. Cependant, comme l’attaquant a déjà besoin des privilèges d’administrateur, il n’y a pas d’impact supplémentaire sur la gestion interface elle-même.
https://psirt.bosch.com/security-advisories/bosch-sa-538331-bt.html
https://psirt.bosch.com/security-advisories/bosch-sa-538331-bt.html
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-6777
