PT-2021-20251 · Sap · Sap Contact Center

Publicado 2021-09-14 · Atualizado 2021-09-24 · CVE-2021-33673

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.3

Alta

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:L

**Nome do software vulnerável e versões afetadas:

SAP Contact Center versão 700

Descrição:

O problema decorre da codificação insuficiente de entradas controladas pelo usuário, que são armazenadas. Isso permite que um invasor explore uma vulnerabilidade de Stored Cross-Site Scripting (XSS) quando um usuário navega pelo diretório de funcionários, possibilitando a execução de código arbitrário no navegador da vítima. O uso de ActiveX pelo aplicativo permite que o invasor execute ainda comandos no nível do sistema operacional.

Recomendações:

Para o SAP Contact Center versão 700, considere desativar o uso do ActiveX no aplicativo como uma solução temporária para minimizar o risco de exploração. Restrinja o acesso ao diretório de funcionários para impedir que invasores executem código arbitrário no navegador da vítima. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-33673

Produtos afetados

Sap Contact Center

Referências · 7

• https://t.me/isacarusec/4439 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-33673 · Nota de Segurança
• https://t.me/cvenotify/21397 · Publicação no Telegram
• https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=585106405 · Aviso do Fabricante
• https://launchpad.support.sap.com/#/notes/3073891 · Nota
• https://osv.dev/vulnerability/CVE-2021-33673 · Aviso do Fabricante
• https://t.me/true_secator/2111 · Publicação no Telegram