PT-2020-10495 · Frappé Technologies · Erpnext
Publicado
2020-03-19
·
Atualizado
2020-03-19
·
CVE-2019-20519
CVSS v3.1
7.4
Alta
| Vetor | AC:L/AV:N/A:N/C:H/I:N/PR:N/S:C/UI:R |
Nome do software vulnerável e versões afetadas
ERPNext versão 11.1.47
Descrição
A vulnerabilidade permite um ataque XSS refletido por meio do PATH INFO para o URI “user/”. Isso pode ser demonstrado por meio de um endereço de e-mail malicioso.
Recomendações
Para a versão 11.1.47 do ERPNext, atualize para uma versão mais recente que contenha uma correção para este problema. Como solução temporária, considere restringir o acesso ao URI “user/” para minimizar o risco de exploração. Evite usar endereços de e-mail criados especificamente no endpoint da API afetado até que o problema seja resolvido.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Erpnext