Mkoppmann

**Nome do Software Vulnerável e Versões Afetadas** Iris versões anteriores a 2.4.28 **Description** O Iris é uma plataforma colaborativa web projetada para que respondentes a incidentes compartilhem detalhes técnicos durante investigações. O software contém uma falha de redirecionamento aberto que permite a um invasor redirecionar usuários para um site malicioso sob o controle do invasor. **Recommendations** Atualizar para a versão 2.4.28.

IRIS is a web collaborative platform that helps incident responders share technical details during investigations. Versions prior to 2.4.28 do not properly validate uploaded files. The application can therefore be misused to host phishing pages, amongst other things. This also creates another instance of a Cross-Site Scripting (XSS) vulnerability. Version 2.4.28 contains a patch.

IRIS is a web collaborative platform that helps incident responders share technical details during investigations. Versions prior to 2.4.28 return sensitive data to the user which are not required for the client’s operation. Version 2.4.28 contains a patch.

IRIS is a web collaborative platform that helps incident responders share technical details during investigations. Versions prior to 2.4.28 allow a user to alter values in the database via manipulated API requests. Version 2.4.28 contains a patch.

**Nome do Software Vulnerável e Versões Afetadas** IRIS versões anteriores a 2.4.28 **Description** O IRIS é uma plataforma colaborativa web projetada para que respondentes a incidentes compartilhem detalhes técnicos durante investigações. O software é suscetível a um ataque de falsificação de solicitação cross-site (CSRF), que ocorre quando um invasor engana um usuário para realizar ações que ele não pretendia fazer, porque a aplicação utiliza o método HTTP `GET` para alterar o estado no servidor. **Recommendations** Atualizar para a versão 2.4.28.

IRIS is a web collaborative platform that helps incident responders share technical details during investigations. In versions prior to 2.4.28, users can create alerts for customers that are not assigned to them. This can be abused to falsely attribute fake alerts to customers. In combination with Cross-Site Scripting, this can also be used to exfiltrate alerts from other customers. Version 2.4.28 contains a patch.