PT-2021-17495 · Dynpg · Dynpg

Publicado 2021-03-23 · Atualizado 2021-03-25 · CVE-2021-27527

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

DynPG versão 4.9.2

Descrição

Uma vulnerabilidade de script entre sites (XSS) permite que invasores remotos injetem JavaScript por meio do parâmetro valueID. Isso possibilita que os invasores executem scripts maliciosos no lado do cliente, o que pode levar a ações não autorizadas ou ao roubo de dados.

Recomendações

Para a versão 4.9.2 do DynPG, considere restringir o acesso ao parâmetro valueID para minimizar o risco de exploração até que uma correção esteja disponível. Como solução temporária, evite usar o parâmetro valueID em operações confidenciais. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-27527

Produtos afetados

Dynpg

Referências · 6

• 🔥 https://github.com/xoffense/POC/blob/main/DynPG%204.9.2%20XSS%20via%20valueID%20parameter · Exploit
• https://t.me/cvenotify/11890 · Publicação no Telegram
• https://t.me/cibsecurity/25308 · Publicação no Telegram
• https://t.me/cvenotify/11786 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-27527 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-27527 · Nota de Segurança