PT-2022-10656 · Fusionpbx · Fusionpbx

Publicado 2022-07-01 · Atualizado 2022-07-12 · CVE-2021-37524

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

FusionPBX versão 4.5.26

Descrição

Uma vulnerabilidade de Cross Site Scripting (XSS) permite que usuários remotos não autenticados injetem scripts da Web ou HTML arbitrários por meio de um parâmetro path não sanitizado no endpoint “resources/login.php”.

Recomendações

Para o FusionPBX versão 4.5.26, atualize o software para uma versão que sanitize o parâmetro path no endpoint “resources/login.php” para impedir a injeção de scripts web ou HTML arbitrários.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-37524

Produtos afetados

Fusionpbx

Referências · 4

• https://github.com/fusionpbx/fusionpbx/commit/c3b811393de63e324eaa64fe5c9ea3fce428fe1a · Correção
• https://fusionpbx.com/app/tickets/ticket_edit.php?id=4a0666cd-8c12-46ae-bc0a-02f007b62cdb · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-37524 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-37524 · Aviso do Fabricante