PT-2021-17496 · Dynpg · Dynpg

Publicado 2021-03-23 · Atualizado 2021-03-25 · CVE-2021-27528

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

DynPG versão 4.9.2

Descrição

Uma vulnerabilidade de script entre sites (XSS) permite que invasores remotos injetem JavaScript por meio do parâmetro refID. Isso possibilita que os invasores executem scripts maliciosos no navegador da vítima.

Recomendações

Para a versão 4.9.2 do DynPG, considere restringir o acesso ao parâmetro refID para minimizar o risco de exploração até que uma correção esteja disponível. Como solução temporária, evite usar o parâmetro refID em operações confidenciais. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-27528

Produtos afetados

Dynpg

Referências · 6

• 🔥 https://github.com/xoffense/POC/blob/main/DynPG%204.9.2%20XSS%20via%20refID%20parameter · Exploit
• https://t.me/cibsecurity/25310 · Publicação no Telegram
• https://t.me/cvenotify/11891 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-27528 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-27528 · Nota de Segurança
• https://t.me/cvenotify/11788 · Publicação no Telegram