关联漏洞
标题：
Engineering SpagoBI 跨站脚本漏洞
(CVE-2024-54795)
描述：Engineering SpagoBI是意大利Engineering公司的一款开源的基于J2EE框架的商业智能套件。该套件主要用于管理BI对象，如报表、记分卡以及数据挖掘模型等，并可通过BI管理器控制、校验、验证与分发这些BI对象。 Engineering SpagoBI 3.5.1及之前版本存在安全漏洞，该漏洞源于在工作表设计器功能的create/edit表单中包含多个存储型跨站脚本漏洞。
描述
SpagoBI multiple stored xss
介绍
# CVE-2024-54795
**Severity :** **Medium** (**5.4**)
**CVSS score :** `CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N`
## Summary :
Engineering Ingegneria Informatica **SpagoBI** version **3.5.1** is affected by multiple **stored XSS** inside of the worksheet designer page.
## Poc
### Steps to Reproduce :
1. While editing a document inserting custom text or while seving inserting filename and info insert the following payload:
```
"><img src="#" onerror=alert(1)>
```
2. Visit the home/worksheet designer page and the pages of the file saved. The html will be reflected and the alert prompted.
## Affected Version Details :
- <= 3.5.1
## Impact :
If the attacker is logged into the app with sufficient permissions to access the worksheet designer page, can store a JS script that can steal user cookies, perform horizontal/vertical privilege escalation, or perform malicious actions such as downloading a malicious file.
## Mitigation :
- Update to the latest version.
## References :
-
文件快照
[4.0K] /data/pocs/391533b31df38d52396241f937d39ccfef963079
└── [1014] README.md
0 directories, 1 file
备注
1. 建议优先通过来源进行访问。
2. 如果因为来源失效或无法访问，请发送邮箱到 f.jinxu#gmail.com 索取本地快照（把 # 换成 @）。
3. 神龙已为您对POC代码进行快照，为了长期维护，请考虑为本地POC付费，感谢您的支持。