PT-2020-17395 · Daybyday · Daybyday

Publicado 2020-12-25 · Atualizado 2020-12-28 · CVE-2020-35706

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Daybyday versão 2.1.0

Descrição

A vulnerabilidade permite um ataque XSS armazenado por meio do parâmetro Title na tela “Novo Projeto”. Isso significa que um invasor pode injetar scripts maliciosos no título de um projeto, os quais podem ser executados quando outros usuários visualizarem o projeto.

Recomendações

Para a versão 2.1.0 do Daybyday, evite usar o parâmetro Title na tela Novo Projeto até que o problema seja resolvido. Como solução alternativa temporária, considere validar e sanitizar todas as entradas do usuário para o parâmetro Title a fim de prevenir ataques XSS.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-35706

Produtos afetados

Daybyday

Referências · 6

• 🔥 https://tufangungor.github.io/exploit/2020/12/12/daybydaycrm-2.1.0-multiple-stored-xss.html · Exploit
• https://github.com/Bottelet/DaybydayCRM/releases · Nota
• https://t.me/cibsecurity/21301 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-35706 · Nota de Segurança
• https://t.me/cvenotify/7735 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-35706 · Aviso do Fabricante