PT-2021-17400 · Sourcecodester · Sourcecodester Casap Automated Enrollment System

Publicado 2021-07-22 · Atualizado 2021-07-30 · CVE-2021-27332

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

SourceCodester CASAP Automated Enrollment System versão 1.0

Descrição

A vulnerabilidade permite que invasores remotos injetem scripts da Web ou HTML arbitrários por meio do parâmetro class name no endpoint da API “update class.php”. Isso permite que os invasores realizem ataques de cross-site scripting (XSS).

Recomendações

Para o SourceCodester CASAP Automated Enrollment System versão 1.0, evite usar o parâmetro class name no endpoint da API “update class.php” até que o problema seja resolvido. Como solução alternativa temporária, considere restringir o acesso ao endpoint “update class.php” para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-27332

Produtos afetados

Sourcecodester Casap Automated Enrollment System

Referências · 5

• 🔥 https://github.com/BigTiger2020/CASAP-Automated-Enrollment-System/blob/main/CASAP-Automated-Enrollment-System-6.md · Exploit
• http://casap.com · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-27332 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-27332 · Aviso do Fabricante
• https://t.me/cvenotify/18372 · Publicação no Telegram