PT-2021-10185 · Unknown · Rukovoditel

Joelister · Publicado 2021-08-26 · Atualizado 2021-08-27 · CVE-2020-18469

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Rukovoditel versão 2.4.1

Descrição:

Existe uma vulnerabilidade de cross-site scripting (XSS) armazenada no campo Texto de direitos autorais, localizado na página Aplicação, no menu Configuração. Isso permite que invasores remotos injetem scripts da web ou HTML arbitrários por meio de um nome de site malicioso, enviando uma solicitação HTTP POST autenticada para “/rukovoditel 2.4.1/index.php?module=configuration/save&redirect to=configuration/application”.

Recomendações:

Para o Rukovoditel versão 2.4.1, considere desativar o campo Texto de direitos autorais na página Aplicação, no menu Configuração, até que uma correção esteja disponível. Restrinja o acesso ao endpoint /rukovoditel 2.4.1/index.php?module=configuration/save&redirect to=configuration/application para minimizar o risco de exploração. Evite usar nomes de sites criados de forma maliciosa que possam injetar scripts da web ou HTML arbitrários. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-18469

Produtos afetados

Rukovoditel

Referências · 5

• 🔥 https://github.com/joelister/Persistent-XSS-on-qdPM-9.1/issues/3 · Exploit
• 🔥 https://github.com/joelister/Persistent-XSS-on-qdPM-9.1/issues/5 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2020-18469 · Nota de Segurança
• https://t.me/cvenotify/20283 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-18469 · Aviso do Fabricante