PT-2021-20146 · Onyaktech · Onyaktech Comments Pro

Burninator · Publicado 2021-09-07 · Atualizado 2021-09-13 · CVE-2021-33483

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

OnyakTech Comments Pro versão 3.8

Descrição

Uma falha no arquivo CommentsService.ashx permite que um invasor insira uma carga XSS na solicitação JSON, que será executada quando os usuários acessarem a página com o comentário. Isso afeta a funcionalidade de publicação de comentários.

Recomendações

Para o OnyakTech Comments Pro versão 3.8, considere desativar a funcionalidade de postagem de comentários no CommentsService.ashx até que um patch esteja disponível para impedir a adição de cargas XSS às solicitações JSON.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-33483

Produtos afetados

Onyaktech Comments Pro

Referências · 5

• 🔥 https://burninatorsec.blogspot.com/2021/07/onyaktech-comments-pro-broken.html · Exploit
• https://t.me/cibsecurity/28310 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-33483 · Aviso do Fabricante
• https://twitter.com/onyaktech · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-33483 · Nota de Segurança