PT-2020-12709 · Cipplanner · Cipplanner Cipace
Publicado
2020-04-06
·
Atualizado
2020-04-07
·
CVE-2020-11593
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
CIPPlanner CIPAce versão 9.1 Build 2019092801
Descrição
Uma falha permite que um invasor não autenticado faça uma solicitação HTTP POST com dados HTML injetados. Esses dados injetados são posteriormente usados para enviar e-mails a partir do endereço de e-mail confiável de um cliente.
Recomendações
Para o CIPPlanner CIPAce versão 9.1 Build 2019092801, considere restringir o acesso ao endpoint HTTP POST para impedir a injeção de dados HTML até que uma correção esteja disponível. Como solução alternativa temporária, monitore a atividade de e-mail proveniente de endereços de e-mail confiáveis do cliente em busca de comportamentos suspeitos. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
Special Elements Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cipplanner Cipace