PT-2022-13146 · Unknown · Remdex/Livehelperchat

Publicado 2022-01-27 · Atualizado 2022-02-02 · CVE-2022-0387

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do remdex/livehelperchat anteriores à 3.93v

Descrição

O problema está relacionado a um Stored Cross-site Scripting (XSS) no pacote remdex/livehelperchat. Isso ocorre quando um usuário cria um novo webhook no campo NOME na seção de edição de grupos de Departamentos e insere uma carga maliciosa, como {{constructor.constructor(‘alert(1)’)()}}. A carga maliciosa é armazenada e executada quando o usuário edita o nome do grupo.

Recomendações

Para versões anteriores à 3.93v, atualize para a versão 3.93v ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à seção de edição de grupos de Departamentos para minimizar o risco de exploração. Evite usar o campo NOME na configuração do webhook até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-0387

GHSA-W4HP-PCP8-QHF3

Produtos afetados

Remdex/Livehelperchat

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/0xxx/CVE-2022-0387.json · Exploit
• 🔥 https://huntr.dev/bounties/2e09035b-8f98-4930-b7e8-7abe5f722b98 · Exploit
• https://github.com/livehelperchat/livehelperchat/commit/ff70c7dd641b68b9afb170b89ec1ef003a4e3444 · Correção
• https://github.com/livehelperchat/livehelperchat · Nota
• https://osv.dev/vulnerability/CVE-2022-0387 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-w4hp-pcp8-qhf3 · Aviso do Fabricante
• https://t.me/cvenotify/26182 · Publicação no Telegram
• https://t.me/cvenotify/25909 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-0387 · Nota de Segurança
• https://t.me/cvenotify/25899 · Publicação no Telegram
• https://t.me/cibsecurity/36368 · Publicação no Telegram