PT-2020-13401 · Rad · Rad Secflow-1V
Jonatan Schor
·
Publicado
2020-09-17
·
Atualizado
2021-07-21
·
CVE-2020-13260
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do RAD SecFlow-1v até 21/05/2020
Descrição
Existe uma vulnerabilidade de XSS armazenado na interface de gerenciamento baseada na web, permitindo que um invasor autenticado envie um arquivo JavaScript com uma carga maliciosa. Essa carga permanece armazenada no sistema como um arquivo OVPN em
Configuration-Services-Security-OpenVPN-Config ou como o arquivo de chave estática em Configuration-Services-Security-OpenVPN-Static Keys. A carga é executada sempre que um usuário abre uma página da web afetada.Recomendações
Para as versões do RAD SecFlow-1v até 21/05/2020, considere restringir o acesso à interface de gerenciamento baseada na web até que uma correção esteja disponível. Como solução alternativa temporária, evite usar as seções
Configuration-Services-Security-OpenVPN-Config e Configuration-Services-Security-OpenVPN-Static Keys para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Exploit
Unrestricted File Upload
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Rad Secflow-1V