PT-2021-3696 · Unknown · Issabel-Pbx

Publicado 2021-01-09 · Atualizado 2021-07-08 · CVE-2021-34190

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.9

Média

Vetor base

AV:N/AC:M/Au:S/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas

Issabel PBX versão 4

Descrição

O problema está relacionado a uma vulnerabilidade de cross-site scripting (XSS) armazenada. Essa vulnerabilidade pode ser explorada por um invasor remoto para executar scripts da Web ou HTML arbitrários. A exploração ocorre por meio de uma carga maliciosa inserida nos campos Name ou Prefix no módulo “Create New Rate” no endpoint index.php?menu=billing rates.

Recomendações

Para o Issabel PBX versão 4, atualize para uma versão que inclua uma correção para este problema, pois a versão atual permite que invasores executem scripts web ou HTML arbitrários por meio de cargas maliciosas em campos específicos.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2021-03929

CVE-2021-34190

Produtos afetados

Issabel-Pbx

Referências · 6

• 🔥 https://research.0xdutra.com/posts/research-issabel-stored-xss · Exploit
• 🔥 https://youtube.com/watch?v=apJH_D68lZI · Exploit
• https://bdu.fstec.ru/vul/2021-03929 · Nota de Segurança
• https://t.me/cibsecurity/25941 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-34190 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-34190 · Aviso do Fabricante