Sage Enterprise Intelligence 2021 R1.1 – mehrere Cross-Site-Scripting-Schwachstellen

Beschreibung

In Sage Enterprise Intelligence 2021 R1.1 erlauben mehrere Cross-Site-Scripting-Schwachstellen einem authentifizierten Angreifer, JavaScript-Code im Browserkontext anderer Nutzer auszuführen. Über die Benachrichtigungsfunktion lässt sich als gespeichertes XSS Code an alle Nutzer mit aktivierten Benachrichtigungen verteilen, was zu einer Rechteausweitung im Anwendungskontext führen kann. CVSS-Basiswert: 9 (Kritisch).

Changelog

1. 2026-07-14 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Sage

• Sage X3 – nicht authentifizierte Remote-Code-Ausführung als SYSTEM in AdxDSrv.exe CVE-2020-7388
• Sage 300 – fest einprogrammierter Blowfish-Schlüssel schützt Konfigurations- und Datenbankgeheimnisse CVE-2022-41397
• Sage 300: fest einprogrammierter Schlüssel zur Passwortverschlüsselung CVE-2022-41400
• Sage-Erweiterung für Firefox – Operationen mit Chrome-Rechten ermöglichen Codeausführung CVE-2009-4102
• Sage XRT Business Exchange – mehrere SQL-Injections CVE-2022-34324
• Sage XRT Treasury – Rechteausweitung über Datenbankzugriff CVE-2017-3183