PT-2022-12309 · Unknown · Coins Construction Cloud

Jürgen Zöller · Publicado 2022-01-24 · Atualizado 2023-10-18 · CVE-2021-45224

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

COINS Construction Cloud versão 11.12

Descrição

Foi detectada uma falha no aplicativo em que código JavaScript é passado como parâmetro de URL em vários pontos. Isso permite que invasores alterem o código e provoquem comportamentos maliciosos, tornando o aplicativo vulnerável a XSS refletido por meio de URLs maliciosas.

Recomendações

Para o COINS Construction Cloud versão 11.12, considere restringir o acesso a parâmetros de URL que aceitem código JavaScript para minimizar o risco de exploração. Como solução temporária, evite usar URLs com código JavaScript até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-45224

Produtos afetados

Coins Construction Cloud

Referências · 6

• 🔥 https://syss.de/fileadmin/dokumente/Publikationen/Advisories/SYSS-2021-053.txt · Exploit
• https://osv.dev/vulnerability/CVE-2021-45224 · Aviso do Fabricante
• https://syss.de/pentest-blog/multiple-schwachstellen-im-coins-construction-cloud-erp-syss-2021-028/-029/-030/-031/-051/-052/-053 · Nota
• https://appsource.microsoft.com/en-us/product/web-apps/constructionindustrysolutionslimited-5057232.coinsconstructioncloud?tab=overview · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-45224 · Nota de Segurança
• https://t.me/cibsecurity/36160 · Publicação no Telegram