Vulnerability CVE-2020-8821 - CERT Civis.Net

Vulnerability Name:

CVE-2020-8821 (CCN-189708)

Assigned:

2020-02-10

Published:

2020-02-10

Updated:

2021-07-21

Summary:

An Improper Data Validation Vulnerability exists in Webmin 1.941 and earlier affecting the Command Shell Endpoint. A user may enter HTML code into the Command field and submit it. Then, after visiting the Action Logs Menu and displaying logs, the HTML code will be rendered (however, JavaScript is not executed). Changes are kept across users.

CVSS v3 Severity:

5.4 Medium (CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N)
4.7 Medium (Temporal CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N/E:U/RL:O/RC:C)

Exploitability Metrics:	Attack Vector (AV): Network Attack Complexity (AC): Low Privileges Required (PR): Low User Interaction (UI): Required
Scope:	Scope (S): Changed
Impact Metrics:	Confidentiality (C): Low Integrity (I): Low Availibility (A): None

6.1 Medium (CCN CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)
5.3 Medium (CCN Temporal CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N/E:U/RL:O/RC:C)

Exploitability Metrics:	Attack Vector (AV): Network Attack Complexity (AC): Low Privileges Required (PR): None User Interaction (UI): Required
Scope:	Scope (S): Changed
Impact Metrics:	Confidentiality (C): Low Integrity (I): Low Availibility (A): None

CVSS v2 Severity:

3.5 Low (CVSS v2 Vector: AV:N/AC:M/Au:S/C:N/I:P/A:N)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): Medium Authentication (Au): Single_Instance
Impact Metrics:	Confidentiality (C): None Integrity (I): Partial Availibility (A): None

5.5 Medium (CCN CVSS v2 Vector: AV:N/AC:L/Au:S/C:P/I:P/A:N)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): Low Athentication (Au): Single_Instance
Impact Metrics:	Confidentiality (C): Partial Integrity (I): Partial Availibility (A): None

Vulnerability Type:

Vulnerability Consequences:

Cross-Site Scripting

References:

Source: MITRE
Type: CNA
CVE-2020-8821

Source: XF
Type: UNKNOWN
webmin-cve20208821-xss(189708)

Source: CCN
Type: Webmin Web site
Webmin

Source: MISC
Type: Vendor Advisory
https://www.webmin.com/security.html

Vulnerable Configuration:

Configuration 1:

cpe:/a:webmin:webmin:*:*:*:*:*:*:*:* (Version <= 1.941)

Configuration CCN 1:

cpe:/a:webmin:webmin:1.540:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.580:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.600:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.670:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.690:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.1:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.2:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.21:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.22:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.3:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.31:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.4:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.41:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.42:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.5:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.51:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.52:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.53:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.54:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.60:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.61:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.62:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.63:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.64:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.65:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.70:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.71:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.72:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.73:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.74:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.75:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.76:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.77:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.78:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.79:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.80:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.81:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.82:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.83:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.84:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.85:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.86:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.87:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.88:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.89:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.90:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.91:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.92:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.93:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.94:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.950:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.960:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.970:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.980:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:0.990:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.000:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.020:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.030:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.040:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.050:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.060:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.070:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.080:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.090:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.100:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.110:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.121:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.130:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.140:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.150:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.160:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.170:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.180:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.190:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.200:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.210:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.220:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.230:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.240:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.250:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.260:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.270:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.280:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.290:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.300:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.310:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.320:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.330:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.340:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.350:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.360:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.370:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.380:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.390:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.400:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.410:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.420:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.430:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.440:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.441:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.450:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.460:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.470:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.480:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.490:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.500:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.510:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.520:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.530:*:*:*:*:*:*:*

OR cpe:/a:gentoo:webmin:1.550:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.560:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.570:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.590:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.610:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.620:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.630:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.640:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.650:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.660:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.680:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.720:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.820:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.840:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.850:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.880:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.890:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.900:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.910:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.920:*:*:*:*:*:*:*

OR cpe:/a:webmin:webmin:1.930:*:*:*:*:*:*:*

Denotes that component is vulnerable