PT-2020-9827 · Cybele · Thinfinity Virtualui

Tom Jackson · Publicado 2020-06-04 · Atualizado 2021-07-21 · CVE-2019-16385

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Cybele Thinfinity VirtualUI versão 2.5.17.2

Descrição

A vulnerabilidade permite a divisão de respostas HTTP por meio do parâmetro mimetype em uma solicitação do visualizador de PDF. Isso pode ser explorado carregando uma solicitação de aplicativo para visualizar um PDF contendo uma carga maliciosa, resultando na execução de uma carga XSS refletida. Por exemplo, um ataque poderia ser demonstrado usando uma solicitação como a substring ‘example.pdf?mimetype=’.

Recomendações

Para o Cybele Thinfinity VirtualUI versão 2.5.17.2, considere restringir o acesso à solicitação do visualizador de PDF ou desativar o parâmetro mimetype para minimizar o risco de exploração até que um patch esteja disponível. Evite usar o parâmetro mimetype no endpoint da API afetado até que a vulnerabilidade seja resolvida.

Exploit

Correção

Special Elements Injection

XSS

Enumeração de Fraquezas

CWE-74

CWE-79

Identificadores relacionados

CVE-2019-16385

Produtos afetados

Thinfinity Virtualui

Referências · 3

• 🔥 https://labs.nettitude.com/blog/cve-2019-16384-85-cyblesoft-thinfinity-virtualui-path-traversal-http-header-injection · Exploit
• https://osv.dev/vulnerability/CVE-2019-16385 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-16385 · Nota de Segurança