PT-2020-10490 · Frappé Technologies · Erpnext

Publicado 2020-03-19 · Atualizado 2020-03-19 · CVE-2019-20514

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AC:L/AV:N/A:N/C:H/I:N/PR:N/S:C/UI:R

Nome do software vulnerável e versões afetadas

ERPNext versão 11.1.47

Descrição

A vulnerabilidade permite um ataque XSS refletido por meio da variável PATH INFO no endereço/URI. Isso pode ser explorado através da manipulação da variável PATH INFO na solicitação.

Recomendações

Para a versão 11.1.47 do ERPNext, considere restringir o acesso ao URI vulnerável para minimizar o risco de exploração. Como solução temporária, evite usar a variável PATH INFO no endereço/URI afetado até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2019-20514

Produtos afetados

Erpnext

Referências · 4

• 🔥 https://netsparker.com/web-applications-advisories/ns-19-017-cross-site-scripting-in-erpnext · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2019-20514 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2019-20514 · Aviso do Fabricante
• https://t.me/cvenotify/1913 · Publicação no Telegram