Kaseya · Kaseya Vsa · CVE-2021-30119
**Nome do software vulnerável e versões afetadas**
Versões do Kaseya VSA anteriores à 9.5.7
**Descrição**
O problema está relacionado a um ataque de Cross Site Scripting (XSS) reflexivo autenticado. Especificamente, o parâmetro `result` do endpoint `/HelpDeskTab/rcResults.asp` e o parâmetro `FileName` do endpoint `/done.asp` são retornados de forma insegura na página da web solicitada, permitindo ataques XSS. Por exemplo, um invasor poderia usar o endpoint `/HelpDeskTab/rcResults.asp` com um parâmetro `result` malicioso, como `<script>alert(document.cookie)</script>`, para executar um ataque de Cross Site Scripting. Da mesma forma, o endpoint `/done.asp` é vulnerável com um parâmetro `FileName` malicioso.
**Recomendações**
Para versões anteriores à 9.5.7, atualize para a versão 9.5.7 ou posterior para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso aos endpoints `/HelpDeskTab/rcResults.asp` e `/done.asp` até que um patch seja aplicado.
Evite usar o parâmetro `result` no endpoint `/HelpDeskTab/rcResults.asp` e o parâmetro `FileName` no endpoint `/done.asp` até que o problema seja resolvido.