PT-2020-18296 · Cerberus · Cerberus Ftp Server

Publicado 2020-01-13 · Atualizado 2020-01-22 · CVE-2020-5195

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Cerberus FTP Server anteriores à 11.0.1

Versões do Cerberus FTP Server anteriores à 10.0.17

Descrição

A vulnerabilidade permite que um invasor remoto execute JavaScript ou HTML arbitrário por meio de uma URL de pasta pública maliciosa, explorando uma vulnerabilidade de XSS refletido através de um elemento IMG. Isso ocorre porque o elemento IMG folder up.png não sanitiza adequadamente os caminhos de diretório inseridos pelo usuário. A modificação do caminho deve ser feita em uma pasta compartilhada publicamente para que um invasor remoto insira JavaScript ou HTML arbitrário. A vulnerabilidade afeta qualquer pessoa que clicar no link malicioso criado pelo invasor.

Recomendações

Para versões anteriores à 11.0.1, atualize para a versão 11.0.1 ou posterior.

Para versões anteriores à 10.0.17, atualize para a versão 10.0.17 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-5195

Produtos afetados

Cerberus Ftp Server

Referências · 5

• https://cerberusftp.com/xss-vulnerability-in-public-shares-fixed-in-cerberus-ftp-server-version-11-0-1-and-10-0-17 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-5195 · Aviso do Fabricante
• https://doyler.net/security-not-included/cerberus-ftp-vulnerabilities · Nota
• https://support.cerberusftp.com/hc/en-us/community/topics/360000164199-Announcements · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-5195 · Nota de Segurança