- شناسه CVE-2025-21393 :CVE
- CWE-79 :CWE
- yes :Advisory
- منتشر شده: ژانویه 14, 2025
- به روز شده: ژانویه 31, 2025
- امتیاز: 6.3
- نوع حمله: T1059.007
- اثر گذاری: Spoofing
- حوزه: نرم افزارهای کاربردی
- برند: Microsoft
- محصول: SharePoint
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
این آسیب پذیری منجر به Cross-Site Scripting (XSS) می‌شود. حمله ممکن است از راه دور انجام شود. توصیه می‌شود که برای رفع این مشکل، به‌روزرسانی امنیتی منتشرشده را نصب کنید.
توضیحات
این آسیب‌پذیری در دسته CWE-79 طبقه بندی شده است. محصول ورودی‌های قابل کنترل توسط کاربر را به درستی خنثی نمی‌کند یا به‌طور نادرست آن‌ها را قبل از قرار گرفتن در خروجی که به‌عنوان صفحه وب برای کاربران دیگر نمایش داده می‌شود، خنثی میکند. این مشکل تأثیرات منفی بر یکپارچگی دارد.
اکسپلویت این آسیب پذیری آسان است. حمله می‌تواند از راه دور انجام شود و نیازمند تعامل کاربر و قربانی است.
اسکنر آسیب‌پذیری Nessus یک پلاگین با شناسه 214134 ارائه کرده است که به تشخیص وجود این آسیب‌پذیری در محیط هدف کمک میکند.
MITRE ATT&CK از تکنیک حمله T1059.007 برای این مشکل استفاده میکند.
CVSS
| Score | Severity | Version | Vector String |
| 6.3 | MEDIUM | 3.1 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:N/E:U/RL:O/RC:C |
لیست محصولات آسیب پذیر
| Versions | Platforms | Product |
| affected from 16.0.0 before 16.0.5483.1001 | x64-based Systems | Microsoft SharePoint Enterprise Server 2016 |
| affected from 16.0.0 before 16.0.10416.20041 | x64-based Systems | Microsoft SharePoint Server 2019 |
| affected from 16.0.0 before 16.0.17928.20356 | x64-based Systems | Microsoft SharePoint Server Subscription Edition |
لیست محصولات بروز شده
| Product | Impact | Max Severity | Build Number |
| Microsoft SharePoint Server Subscription Edition | Spoofing | Important | 16.0.17928.20356 |
| Microsoft SharePoint Server 2019 | Spoofing | Important | 16.0.10416.20041 |
| Microsoft SharePoint Server 2019 | Spoofing | Important | 16.0.10416.20041 |
| Microsoft SharePoint Enterprise Server 2016 | Spoofing | Important | 16.0.5483.1001 |
| Microsoft SharePoint Enterprise Server 2016 | Spoofing | Important | 16.0.5483.1001 |
نتیجه گیری
این آسیب پذیری یکپارچگی را تحت تأثیر قرار می دهد زیرا XSS به مهاجم این امکان را می‌دهد که اسکریپت مخربی را به صفحه وب اضافه کند تا اطلاعات حساس قربانی را جمع‌آوری کرده یا اجرای DOM(Document Object Model) را تغییر دهد. همچنین مهاجم باید برای دسترسی به سایت هدف، حداقل به‌عنوان عضو سایت وارد شده باشد. در سناریوهای حمله مبتنی بر وب، مهاجم می‌تواند وب‌سایتی را میزبانی (host)کند (یا از وب‌سایت آسیب‌دیده‌ای که محتوای ارائه‌شده توسط کاربر را می‌پذیرد یا میزبانی میکند، استفاده کند) که حاوی فایلی باشد که به‌طور خاص برای اکسپلویت این آسیب پذیری طراحی‌شده اند. با این حال، مهاجم هیچ راهی برای مجبور کردن کاربر به بازدید از سایت ندارد. در عوض، مهاجم باید کاربر را قانع کند تا روی لینکی کلیک کند، که معمولاً با استفاده از فریب دادن کاربر در ایمیل یا پیام‌رسان فوری، امکان پذیر بوده و سپس کاربر را قانع میکند که فایل خاص طراحی شده را باز کند.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-21393
- https://www.cvedetails.com/cve/CVE-2025-21393/
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21393
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-21393
- https://vuldb.com/?id.291805
- https://nvd.nist.gov/vuln/detail/CVE-2025-21393
- https://cwe.mitre.org/data/definitions/79.html
