Podatność typu XSS w smartfonie Xiaomi 13 Pro pozwala zdalnym atakującym na wykonanie dowolnego kodu na urządzeniu ofiary. Wysoki wynik CVSS (9.6) i zakres wpływu obejmujący poufność, integralność oraz dostępność czynią ją szczególnie groźną.
▸ Pokaż oryginał (EN)
Xiaomi Pro 13 mimarket manual-upgrade Cross-Site Scripting Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Xiaomi Pro 13 smartphones. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the manual-upgrade.html file. When parsing the manualUpgradeInfo parameter, the process does not properly sanitize user-supplied data, which can lead to the injection of an arbitrary script. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-22379.
Luka tkwi w pliku manual-upgrade.html, odpowiedzialnym za ręczne aktualizacje aplikacji Mi Market. Parametr manualUpgradeInfo nie jest odpowiednio sanityzowany — aplikacja nie filtruje danych dostarczonych przez użytkownika, co umożliwia wstrzyknięcie dowolnego skryptu. Atakujący musi nakłonić ofiarę do odwiedzenia złośliwej strony lub otwarcia złośliwego pliku, a następnie może wykonać kod w kontekście bieżącego użytkownika urządzenia.
Atakujący może wykonać dowolny kod w kontekście zalogowanego użytkownika, uzyskując potencjalnie pełną kontrolę nad danymi i funkcjami urządzenia. Zagrożone są poufność, integralność danych oraz dostępność systemu.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie aktualizacji oprogramowania układowego Xiaomi 13 Pro i instalację poprawek niezwłocznie po ich udostępnieniu. Do czasu załatania należy zachować szczególną ostrożność przy otwieraniu nieznanych plików i odwiedzaniu niezaufanych stron.
Xiaomi 13 Pro oraz Xiaomi 13 Pro Firmware — dokładne wersje wskazane w referencjach producenta i poradniku ZDI-24-418
Podatność została pierwotnie zgłoszona w ramach programu Zero Day Initiative jako ZDI-CAN-22379 i opublikowana jako ZDI-24-418.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HMi Xiaomi 13 Pro
HWMiwszystkie wersjeMi Xiaomi 13 Pro Firmware
OSMi14.0.5.0
Powiązane podatności
XSS umożliwiający RCE w aplikacji GetApps na Xiaomi 13 Pro
The Xiaomi Security Center expresses heartfelt thanks to ADLab of VenusTech ! At the same time, we also welcom...
A logic vulnerability exists in a Xiaomi product. The vulnerability is caused by an identity verification fail...
A command injection vulnerability exists in the Xiaomi Router AX3600. The vulnerability is caused by a lack of...
There is command injection in the addMeshNode interface of xqnetwork.lua, which leads to command execution und...