PT-2021-17497 · Dynpg · Dynpg

Publicado 2021-03-23 · Atualizado 2021-03-25 · CVE-2021-27529

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

DynPG versão 4.9.2

Descrição

Uma vulnerabilidade de script entre sites (XSS) permite que invasores remotos injetem JavaScript por meio do parâmetro limit. Isso possibilita que os invasores executem scripts maliciosos no lado do cliente, o que pode levar a ações não autorizadas ou à exposição de dados.

Recomendações

Para a versão 4.9.2 do DynPG, considere restringir o acesso ao parâmetro limit para minimizar o risco de exploração até que uma correção esteja disponível. Como solução temporária, evite usar o parâmetro limit em operações confidenciais. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-27529

Produtos afetados

Dynpg

Referências · 6

• 🔥 https://github.com/xoffense/POC/blob/main/DynPG%204.9.2%20XSS%20via%20limit%20parameter · Exploit
• https://t.me/cvenotify/11790 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-27529 · Aviso do Fabricante
• https://t.me/cvenotify/11889 · Publicação no Telegram
• https://t.me/cibsecurity/25306 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-27529 · Nota de Segurança