PT-2020-13758 · Sage · Sage Easypay

Publicado 2020-10-18 · Atualizado 2020-10-27 · CVE-2020-13893

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Sage EasyPay versão 10.7.5.10

Descrição

A vulnerabilidade permite que invasores autenticados injetem scripts da Web ou HTML arbitrários por meio de múltiplos parâmetros, utilizando transformações Unicode (mapeamento de melhor ajuste), conforme demonstrado pelas variantes de largura total do sinal menor que (%EF%BC%9C) e do sinal maior que (%EF%BC%9E). Trata-se de uma vulnerabilidade de cross-site scripting (XSS) armazenada.

Recomendações

Para o Sage EasyPay versão 10.7.5.10, considere restringir o acesso a parâmetros que permitam transformações Unicode (mapeamento de melhor ajuste) para minimizar o risco de exploração. Como solução alternativa temporária, evite usar parâmetros que possam ser utilizados para injetar scripts web ou HTML arbitrários até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-13893

Produtos afetados

Sage Easypay

Referências · 5

• https://nvd.nist.gov/vuln/detail/CVE-2020-13893 · Nota de Segurança
• https://t.me/cibsecurity/15359 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-13893 · Aviso do Fabricante
• https://sage.com/en-sg/products/sage-easypay · Aviso do Fabricante
• https://gist.github.com/picar0jsu/4532a6d15e8f8d7597b7dca5136ad655 · Nota