PT-2021-11833 · Quest · Quest Policy Authority

Publicado 2021-01-11 · Atualizado 2024-08-04 · CVE-2020-35721

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Quest Policy Authority versão 8.1.2.200

Descrição:

A vulnerabilidade permite que invasores remotos injetem código malicioso no navegador por meio de um link especialmente criado para o arquivo “BrowseAssets.do”, utilizando o parâmetro title. Isso afeta produtos que não são mais suportados pelo desenvolvedor.

Recomendações:

Para o Quest Policy Authority versão 8.1.2.200, como solução temporária, considere restringir o acesso ao arquivo “BrowseAssets.do” ou desativar o uso do parâmetro title até que uma solução esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-35721

Produtos afetados

Quest Policy Authority

Referências · 6

• 🔥 https://clandestinelabs.io/security-advisories/advisory-multiple-vulnerabilities-in-quest-policy-authority-for-unified-communications · Exploit
• 🔥 https://un4gi.io/blog/multiple-vulnerabilities-in-quest-policy-authority-for-unified-communications · Exploit
• https://t.me/cibsecurity/21890 · Publicação no Telegram
• https://t.me/cvenotify/89051 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-35721 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-35721 · Aviso do Fabricante