Sicherheitsschwachstellen im tef-Händlerportal (SYSS-2023-020/-021)

28.08.2023 – Advisories – SYSS-2023-020/-021

Security Advisories von IT Security Consultant Nikolaus Seitzer

Im tef-Händlerportal kann zum einen über eine Persistent Cross-Site Scripting-Schwachstelle in der Lieferadresse beliebiger Code im Kontext des Benutzers ausgeführt werden.
Zum anderen ist es möglich, über eine Uploadfunktion, die mit einer unvollständigen Blocklist geschützt ist, eine Web-Shell hochzuladen. Ein Angreifer ist somit in der Lage, das unterliegende System und die darauf befindlichen Daten zu korrumpieren.

Detaillierte Informationen zu den gefundenen Schwachstellen finden Sie in unseren Security Advisories / You will find detailed information about these security issues in our Security Advisories:

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.