PT-2022-12562 · Jfinalcms · Jfinalcms

Al1Exo · Publicado 2022-01-25 · Atualizado 2022-01-28 · CVE-2021-46087

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

jfinal cms versões 5.1.0 e posteriores

Descrição

O problema está relacionado a uma vulnerabilidade XSS de armazenamento no sistema de fundo do CMS. Isso ocorre porque os desenvolvedores não filtram os parâmetros enviados pelo formulário de entrada do usuário, permitindo que qualquer usuário com permissão de acesso ao sistema de fundo comprometa a segurança do sistema ao inserir código malicioso.

Recomendações

Para as versões 5.1.0 e posteriores do jfinal cms, considere filtrar os parâmetros enviados pelo formulário de entrada do usuário para impedir a inserção de código malicioso. Como solução temporária, restrinja a permissão de acesso ao back-end a usuários confiáveis até que uma correção adequada seja implementada.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-46087

Produtos afetados

Jfinalcms

Referências · 4

• 🔥 https://github.com/jflyfox/jfinal_cms/issues/19 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-46087 · Nota de Segurança
• https://t.me/cibsecurity/36236 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-46087 · Aviso do Fabricante