PT-2020-7920 · Ocportal · Ocportal

Arjun Basnet · Publicado 2020-08-03 · Atualizado 2020-11-10 · CVE-2015-9549

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.3

Média

Vetor base

AV:N/AC:M/Au:N/C:N/I:P/A:N

**Nome do software vulnerável e versões afetadas:

OcPortal versão 9.0.20

Descrição:

Existe uma vulnerabilidade de Cross-site Scripting (XSS) refletido por meio do campo FIELD NAME do arquivo OCF EMOTICON CELL.tpl, que aponta para “data/emoticons.php”. Isso permite a injeção potencial de scripts maliciosos.

Recomendações:

Para o OcPortal versão 9.0.20, considere desativar o acesso ao endpoint “data/emoticons.php” ou restringir o uso do campo FIELD NAME no modelo OCF EMOTICON CELL.tpl até que uma correção esteja disponível.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2015-9549

Produtos afetados

Ocportal

Referências · 6

• 🔥 https://github.com/cybersecurityworks/Disclosed/issues/11 · Exploit
• 🔥 https://openwall.com/lists/oss-security/2015/12/19/2 · Exploit
• 🔥 https://cybersecurityworks.com/zerodays/cve-2015-9549-ocportal.html · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2015-9549 · Nota de Segurança
• https://t.me/cvenotify/5488 · Publicação no Telegram
• https://t.me/cibsecurity/13837 · Publicação no Telegram