阿里云漏洞库

CVE编号

CVE-2021-27956

利用情况

暂无

补丁情况

N/A

披露时间

2021-05-21

ManageEngine ADSelfService Plus是一款基于Web的自助服务应用程序，使终端用户可不依赖于帮助台而执行密码重置、帐户解锁、配置文件信息更新等任务。

Zoho ManageEngine ADSelfService Plus 6104之前版本中的/webclient/index.html#/directory-search用户搜索页面存在存储型跨站脚本漏洞。攻击者可通过电子邮件地址字段利用该漏洞执行恶意JavaScript。

厂商已发布了漏洞修复程序，请及时关注更新：
https://pitstop.manageengine.com/portal/en/community/topic/adselfservice-plus-6104-released-with-an-important-security-fixes

参考链接
https://pitstop.manageengine.com/portal/en/community/topic/adselfservice-plus...
https://raxis.com/blog/cve-2021-27956-manage-engine-xss
https://www.manageengine.com

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	zohocorp	manageengine_adselfservice_plus	*		Up to (excluding) 6.1
	运行在以下环境
	应用	zohocorp	manageengine_adselfservice_plus	6.1	-

CWE-ID	漏洞类型
CWE-79	在Web页面生成时对输入的转义处理不恰当（跨站脚本）