PT-2020-16752 · Synology · Synology Safeaccess

Claudio Bozzato · Publicado 2020-11-30 · Atualizado 2022-04-12 · CVE-2020-27659

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.4

Alta

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Synology SafeAccess anteriores à 1.2.3-0234

Descrição

Várias vulnerabilidades de cross-site scripting (XSS) permitem que invasores remotos injetem scripts da web ou HTML arbitrários por meio dos parâmetros domain ou profile. Esse problema permite que invasores executem scripts maliciosos no navegador da vítima, o que pode levar a ações não autorizadas ou roubo de dados.

Recomendações

Para versões do Synology SafeAccess anteriores à 1.2.3-0234, atualize para a versão 1.2.3-0234 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso aos parâmetros vulneráveis domain e profile para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-27659

Produtos afetados

Synology Safeaccess

Referências · 8

• 🔥 https://github.com/thomasfady/Synology_SA_20_25 · Exploit
• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2020-1087 · Exploit
• https://t.me/cvenotify/7588 · Publicação no Telegram
• https://t.me/cvenotify/6329 · Publicação no Telegram
• https://t.me/cibsecurity/16928 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-27659 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-27659 · Nota de Segurança
• https://synology.com/security/advisory/Synology_SA_20_25 · Aviso do Fabricante