PT-2022-12311 · Unknown · Coins Construction Cloud

Jürgen Zöller · Publicado 2022-01-24 · Atualizado 2023-10-18 · CVE-2021-45226

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

COINS Construction Cloud versão 11.12

Descrição

Foi detectada uma falha devido à validação inadequada de cabeçalhos HTTP controlados pelo usuário, permitindo que invasores façam com que o sistema envie e-mails de redefinição de senha direcionados a sites arbitrários.

Recomendações

Para o COINS Construction Cloud versão 11.12, considere restringir temporariamente a funcionalidade de redefinição de senha até que uma correção esteja disponível para impedir a exploração. Além disso, revise e melhore a validação de cabeçalhos HTTP controlados pelo usuário para evitar problemas semelhantes no futuro. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Improper Encoding or Escaping of Output

Enumeração de Fraquezas

CWE-116

Identificadores relacionados

CVE-2021-45226

Produtos afetados

Coins Construction Cloud

Referências · 7

• 🔥 https://syss.de/fileadmin/dokumente/Publikationen/Advisories/SYSS-2021-051.txt · Exploit
• https://syss.de/pentest-blog/multiple-schwachstellen-im-coins-construction-cloud-erp-syss-2021-028/-029/-030/-031/-051/-052/-053 · Nota
• https://osv.dev/vulnerability/CVE-2021-45226 · Aviso do Fabricante
• https://t.me/cvenotify/25775 · Publicação no Telegram
• https://t.me/cibsecurity/36152 · Publicação no Telegram
• https://appsource.microsoft.com/en-us/product/web-apps/constructionindustrysolutionslimited-5057232.coinsconstructioncloud?tab=overview · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-45226 · Nota de Segurança