PT-2022-12349 · Reprise · Reprise License Manager

Giulia Melotti Garibaldi · Publicado 2022-01-13 · Atualizado 2025-04-30 · CVE-2021-45422

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Reprise License Manager versão 14.2

Descrição

A vulnerabilidade consiste em um cross-site scripting refletido no endpoint da API “/goform/activate process”, especificamente no parâmetro count, que pode ser explorado por meio de solicitações GET. Não é necessária autenticação para explorar essa vulnerabilidade.

Recomendações

Para o Reprise License Manager versão 14.2, como solução temporária, considere restringir o acesso ao endpoint da API “/goform/activate process” ou evitar o uso do parâmetro count nesse endpoint até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-45422

Produtos afetados

Reprise License Manager

Referências · 10

• 🔥 https://github.com/WlX-33/PoC-for-CVE/blob/main/CVE-2021-45422/RLM%2014.2%20Cross%20Site%20Scripting.txt · Exploit
• 🔥 https://seclists.org/fulldisclosure/2022/Jan/31 · Exploit
• https://t.me/cvenotify/25430 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-45422 · Aviso do Fabricante
• https://t.me/cvenotify/115408 · Publicação no Telegram
• https://getinfosec.news/13202933/reprise-license-manager-142-reflected-cross-site-scripting# · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-45422 · Nota de Segurança
• https://t.me/cvenotify/120395 · Publicação no Telegram
• https://t.me/cvenotify/25667 · Publicação no Telegram
• http://reprise.com · Nota