PT-2020-15180 · Apache · Apache Ofbiz

CVE-2020-1943 · Publicado 2020-04-01 · Atualizado 2023-01-27

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache OFBiz de 16.11.01 a 16.11.07

Descrição

A vulnerabilidade permite ataques XSS devido ao envio de dados não sanitizados com o parâmetro contentId para o endpoint da API “/control/stream”.

Recomendações

Para as versões do Apache OFBiz 16.11.01 a 16.11.07, como solução temporária, considere restringir o acesso ao endpoint da API “/control/stream” até que uma correção esteja disponível. Evite usar o parâmetro contentId neste endpoint para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-1943

Produtos afetados

Apache Ofbiz

Referências · 7

• https://t.me/cvenotify/42977 · Publicação no Telegram
• https://lists.apache.org/thread.html/r8efd5b62604d849ae2f93b2eb9ce0ce0356a4cf5812deed14030a757%40%3Cdev.ofbiz.apache.org%3E · Nota
• https://s.apache.org/pr5u8 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-1943 · Aviso do Fabricante
• https://lists.apache.org/thread.html/r034123f2767830169fd04c922afb22d2389de6e2faf3a083207202bc%40%3Ccommits.ofbiz.apache.org%3E · Nota
• https://lists.apache.org/thread.html/ra6c011af63d8a8cd8c0b8f72b2b0c392af4d5ed040ba59be344d13fa%40%3Cdev.ofbiz.apache.org%3E · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-1943 · Nota de Segurança