PT-2021-17694 · Zoho · Zoho Manageengine Adselfservice Plus

Matt Dunn · Publicado 2021-05-20 · Atualizado 2021-05-26 · CVE-2021-27956

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Zoho ManageEngine ADSelfService Plus anteriores à 6104

Descrição:

A vulnerabilidade permite um ataque XSS armazenado na página de pesquisa de usuários “/webclient/index.html#/directory-search” por meio do campo endereço de e-mail. Isso pode levar à execução de scripts maliciosos quando um usuário interage com a página afetada.

Recomendações:

Para versões anteriores à 6104, atualize para a versão 6104 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à página “/webclient/index.html#/directory-search” até que a atualização seja aplicada. Evite usar o campo endereço de e-mail no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-27956

Produtos afetados

Zoho Manageengine Adselfservice Plus

Referências · 7

• 🔥 https://raxis.com/blog/cve-2021-27956-manage-engine-xss · Exploit
• https://osv.dev/vulnerability/CVE-2021-27956 · Aviso do Fabricante
• https://t.me/cvenotify/14754 · Publicação no Telegram
• https://manageengine.com · Aviso do Fabricante
• https://t.me/cvenotify/15123 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-27956 · Nota de Segurança
• https://pitstop.manageengine.com/portal/en/community/topic/adselfservice-plus-6104-released-with-an-important-security-fixes · Aviso do Fabricante