PT-2020-15761 · Ignite Realtime · Openfire

CVE-2020-24601 · Publicado 2020-09-02 · Atualizado 2024-03-06

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Openfire versão 4.5.1

Descrição

Uma vulnerabilidade do tipo Stored Cross-Site permite que um invasor execute uma URL maliciosa arbitrária por meio dos parâmetros vulneráveis searchName e alias na página de importação de certificados confiáveis, especificamente por meio de uma solicitação POST.

Recomendações

Para o Openfire versão 4.5.1, como solução temporária, considere restringir o acesso à página de importação de certificados confiáveis até que uma correção esteja disponível. Evite usar os parâmetros searchName e alias na solicitação POST afetada até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BIT-OPENFIRE-2020-24601

CVE-2020-24601

Produtos afetados

Openfire

Referências · 5

• 🔥 https://cybersecurityworks.com/zerodays/cve-2020-24601-ignite-realtime-openfire.html · Exploit
• https://osv.dev/vulnerability/BIT-openfire-2020-24601 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-24601 · Aviso do Fabricante
• https://issues.igniterealtime.org/browse/OF-1963 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-24601 · Nota de Segurança