Sensitive cookie without 'HttpOnly' flag in System Configuration Tool (SCT)
21Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 7.5epss 0.5%
probabilidad de explotación
0.5%top 56% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen
La herramienta System Configuration Tool almacena cookies sensibles sin la protección HttpOnly, permitiendo que atacantes las roben mediante ataques con JavaScript. Esto pone en riesgo las sesiones de los usuarios de acceso no autorizado.
Detalle técnico
Vulnerabilidad CWE-1004 en versiones 14.x <14.2.3 y 15.x <15.0.3 del SCT de Johnson Controls expone cookies de sesión sensibles sin protección HttpOnly, permitiendo que la inyección de scripts en el lado del cliente (XSS) exfiltre tokens de autenticación e hijacke sesiones autenticadas.
Resumen generado y traducido por IA a partir de la descripción oficial.
Sensitive Cookie Without 'HttpOnly' Flag vulnerability in Johnson Controls System Configuration Tool (SCT) version 14 prior to 14.2.3 and version 15 prior to 15.0.3 could allow access to the cookie.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
Johnson Controls · System Configuration Tool (SCT)