PT-2021-21954 · Openwebif · Openwebif

Kozmero · Publicado 2021-08-04 · Atualizado 2021-08-11 · CVE-2021-38113

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

OpenWebif (também conhecido como e2openplugin-OpenWebif) versões 1.4.7 e anteriores

Descrição:

A vulnerabilidade permite que um invasor insira código JavaScript no recurso “Adicionar Pacote” do Editor de Pacotes, especificamente por meio do endpoint “bouqueteditor/api/addbouquet?name=”, levando a um ataque XSS armazenado.

Recomendações:

Para as versões 1.4.7 e anteriores do OpenWebif, considere desativar o recurso addBouquet no Bouquet Editor até que um patch esteja disponível. Restrinja o acesso ao endpoint bouqueteditor/api/addbouquet para minimizar o risco de exploração. Evite usar o parâmetro name no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-38113

Produtos afetados

Openwebif

Referências · 4

• 🔥 https://github.com/E2OpenPlugins/e2openplugin-OpenWebif/issues/1387 · Exploit
• https://osv.dev/vulnerability/CVE-2021-38113 · Aviso do Fabricante
• https://t.me/cibsecurity/26857 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-38113 · Nota de Segurança