PT-2021-10328 · Jeesns · Jeesns

Publicado 2021-09-09 · Atualizado 2021-09-13 · CVE-2020-19288

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Jeesns versão 1.4.2

Descrição:

Uma vulnerabilidade de cross-site scripting (XSS) armazenada no componente “/localhost/u” permite que invasores executem scripts da Web ou HTML arbitrários por meio de uma carga maliciosa criada especificamente para esse fim em uma mensagem privada.

Recomendações:

Para o Jeesns versão 1.4.2, considere desativar o recurso de mensagens privadas até que um patch esteja disponível para impedir a exploração da vulnerabilidade de XSS armazenado no componente /localhost/u. Restrinja o acesso ao componente “/localhost/u” para minimizar o risco de execução de scripts web arbitrários. Evite usar cargas maliciosas em mensagens privadas para prevenir possíveis ataques. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-19288

Produtos afetados

Jeesns

Referências · 5

• 🔥 https://github.com/zchuanzhao/jeesns/issues/17 · Exploit
• 🔥 https://seebug.org/vuldb/ssvid-97946 · Exploit
• https://t.me/cibsecurity/28642 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-19288 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-19288 · Nota de Segurança