漏洞关键信息 漏洞概览 Advisory ID: SYSS-2021-030 产品: COINS Construction Cloud 制造商: Construction Industry Solutions (COINS) 受影响的版本: 11.12 测试的版本: 11.12 漏洞类型: 跨站脚本（XSS） (CWE-79) 风险等级: 高 解决状态: 未修复 制造商通知日期: 2021-11-02 公开披露日期: 2022-01-13 CVE 参考: CVE-2021-45227 顾问作者: Philipp Rieth, SySS GmbH 漏洞详情 由于HTML 标签的不当使用，文件上传功能易受持续的跨站脚本攻击。 受影响的文件类型为.html 和 .svg 文件。 概念验证 (PoC): HTML 文件上传后在网站上显示时弹出 JavaScript 。 SVG 文件上传后在网站上显示时弹出 JavaScript 。 解决方案 目前没有已知的解决方案。 披露时间表 2021-04-20: 发现漏洞 2021-11-02: 向制造商报告漏洞 2021-??-??: 制造商发布补丁 2021-??-??: 公开披露漏洞 参考资料 1. 产品官网 2. SySS Security Advisory 3. SySS 负责任的披露政策