PT-2021-4989 · Mcafee · Mcafee Policy Auditor
CVE-2021-31852
·
Publicado
2021-11-22
·
Atualizado
2023-11-21
CVSS v2.0
6.4
Média
| Vetor | AV:N/AC:L/Au:N/C:P/I:P/A:N |
Nome do software vulnerável e versões afetadas
Versões do McAfee Policy Auditor anteriores à 6.5.2
Descrição
O problema está relacionado a uma vulnerabilidade de Cross-Site Scripting refletido na interface web do McAfee Policy Auditor. Essa vulnerabilidade permite que um invasor remoto não autenticado injete scripts web ou HTML arbitrários por meio do parâmetro de solicitação
UID. O script malicioso é refletido sem modificações na interface web do Policy Auditor, o que pode levar à extração de tokens de sessão do usuário final ou credenciais de login. Esses dados podem ser usados para acessar aplicativos críticos de segurança ou realizar solicitações entre domínios arbitrárias.Recomendações
Para versões do McAfee Policy Auditor anteriores à 6.5.2, atualize para a versão 6.5.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à interface web vulnerável até que um patch seja aplicado. Evite usar o parâmetro
UID no endpoint da API afetado até que o problema seja resolvido.Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Mcafee Policy Auditor