PT-2021-23902 · Dzzoffice · Dzzoffice

Enferaso · Publicado 2021-12-03 · Atualizado 2021-12-10 · CVE-2021-43673

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

dzzoffice versão 2.02.1 SC UTF8

Descrição:

O problema está relacionado a uma vulnerabilidade de Cross Site Scripting (XSS) no arquivo explorerfile.php. Essa vulnerabilidade afeta a saída da função exit, que é exibida ao usuário por meio de exit(json encode($return)).

Recomendações:

Para o dzzoffice versão 2.02.1 SC UTF8, considere restringir o acesso ao arquivo explorerfile.php para minimizar o risco de exploração até que um patch esteja disponível. Como solução temporária, evite usar a função exit com dados inseridos pelo usuário no arquivo afetado. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-43673

Produtos afetados

Dzzoffice

Referências · 6

• 🔥 https://github.com/zyx0814/dzzoffice/issues/188 · Exploit
• https://t.me/cvenotify/24175 · Publicação no Telegram
• https://t.me/cvenotify/24166 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-43673 · Aviso do Fabricante
• https://t.me/cibsecurity/33301 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-43673 · Nota de Segurança