PT-2020-5462 · Apache · Apache Cxf

Ryan Lambeth

·

Publicado

2020-11-12

·

Atualizado

2022-05-12

·

CVE-2020-13954

CVSS v3.1

6.1

Média

VetorAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões do Apache CXF anteriores à 3.4.1
Versões do Apache CXF anteriores à 3.3.8
Descrição
O problema está relacionado a um ataque de Cross-Site Scripting (XSS) refletido por meio do parâmetro styleSheetPath, que permite que um agente mal-intencionado injete javascript na página da web. Isso se deve à falta de medidas de proteção para a estrutura da página da web. A exploração dessa vulnerabilidade pode permitir que um invasor remoto realize ataques de cross-site scripting.
Recomendações
Para versões anteriores à 3.4.1, atualize para a versão 3.4.1 ou posterior.
Para versões anteriores à 3.3.8, atualize para a versão 3.3.8 ou posterior.
Como solução alternativa temporária, considere restringir o acesso à página /services e ao parâmetro styleSheetPath para minimizar o risco de exploração.

Exploit

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2021-00711
CVE-2020-13954
GHSA-64X2-GQ24-75PV

Produtos afetados

Apache Cxf