PT-2021-17494 · Dynpg · Dynpg

Publicado 2021-03-23 · Atualizado 2021-03-25 · CVE-2021-27526

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

DynPG versão 4.9.2

Descrição

Uma vulnerabilidade de script entre sites (XSS) permite que invasores remotos injetem código JavaScript por meio do parâmetro page. Isso possibilita que os invasores executem scripts maliciosos no navegador da vítima.

Recomendações

Para a versão 4.9.2 do DynPG, considere restringir o acesso ao parâmetro page para minimizar o risco de exploração até que uma correção esteja disponível. Evite usar o parâmetro page em operações confidenciais até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-27526

Produtos afetados

Dynpg

Referências · 6

• 🔥 https://github.com/xoffense/POC/blob/main/DynPG%204.9.2%20XSS%20via%20page%20parameter · Exploit
• https://t.me/cvenotify/11892 · Publicação no Telegram
• https://t.me/cvenotify/11792 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-27526 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-27526 · Nota de Segurança
• https://t.me/cibsecurity/25314 · Publicação no Telegram