PT-2021-10186 · Unknown · Rukovoditel

Joelister · Publicado 2021-08-26 · Atualizado 2021-08-27 · CVE-2020-18470

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Rukovoditel versão 2.4.1

Descrição:

Existe uma vulnerabilidade de cross-site scripting (XSS) armazenada no campo “Nome do aplicativo” da página “Configuração Geral”, permitindo que invasores remotos injetem scripts web ou HTML arbitrários por meio de um nome de site malicioso, enviando uma solicitação HTTP POST autenticada para o endpoint /install/index.php. A variável name está vulnerável à injeção, permitindo que invasores executem scripts maliciosos.

Recomendações:

Para o Rukovoditel versão 2.4.1, como solução temporária, considere restringir o acesso à página Configuração Geral até que uma correção esteja disponível. Evite usar o endpoint /install/index.php com nomes de sites criados para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-18470

Produtos afetados

Rukovoditel

Referências · 5

• 🔥 https://github.com/joelister/Persistent-XSS-on-qdPM-9.1/issues/4 · Exploit
• 🔥 https://github.com/joelister/Persistent-XSS-on-qdPM-9.1/issues/3 · Exploit
• https://osv.dev/vulnerability/CVE-2020-18470 · Aviso do Fabricante
• https://t.me/cibsecurity/27921 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-18470 · Nota de Segurança