Valerio Brussani

**Nome do software vulnerável e versões afetadas** Software Cisco Adaptive Security Appliance (ASA) (versões afetadas não especificadas) Software Cisco Firepower Threat Defense (FTD) (versões afetadas não especificadas) **Descrição** O problema está relacionado à validação inadequada dos dados de entrada que são transmitidos ao componente de serviços do cliente web VPN antes de serem devolvidos ao navegador em uso. Isso poderia permitir que um invasor remoto não autenticado realizasse ataques baseados em navegador contra usuários de um dispositivo afetado. Um invasor poderia explorar essa vulnerabilidade persuadindo um usuário a visitar um site projetado para enviar solicitações maliciosas a um dispositivo que esteja executando o software Cisco ASA ou Cisco FTD e tenha pontos de extremidade de serviços web com recursos de VPN habilitados. Uma exploração bem-sucedida poderia permitir que o invasor refletisse entradas maliciosas do dispositivo afetado para o navegador em uso e realizasse ataques baseados no navegador, incluindo ataques de cross-site scripting. **Recomendações** Para o software Cisco Adaptive Security Appliance (ASA), considere desativar o recurso SSL VPN sem cliente até que uma correção esteja disponível. Para o software Cisco Firepower Threat Defense (FTD), restrinja o acesso ao componente de serviços de cliente web VPN para minimizar o risco de exploração. Evite usar pontos de extremidade de serviços web que suportem recursos de VPN até que o problema seja resolvido. Como solução alternativa temporária, considere configurar o dispositivo para validar as entradas de forma mais rigorosa antes de as passar para o navegador. No momento

**Nome do software vulnerável e versões afetadas: Froxlor versões 0.10.22 e anteriores Descrição: O problema diz respeito à falta de validação das entradas do usuário passadas no parâmetro GET `customermail`. Isso permite a injeção de tags HTML arbitrárias, que são refletidas na página de login. Isso pode ser potencialmente usado para roubar credenciais de login. Recomendações: Para as versões 0.10.22 e anteriores do Froxlor, considere desativar a exibição das entradas do usuário na página de login até que uma correção adequada esteja disponível. Restrinja o acesso ao parâmetro `customermail` para minimizar o risco de exploração. Observe que, embora a versão 0.10.22 do Froxlor introduza a proteção AntiXSS contra scripts entre sites, ela oferece apenas proteção parcial para este problema específico. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.