PT-2022-13928 · Unknown · Facturascripts

Publicado 2022-04-28 · Atualizado 2022-05-06 · CVE-2022-1514

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.0

Crítica

Vetor base

AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do FacturaScripts anteriores à 2022.06

Descrição

A vulnerabilidade permite ataques de cross-site scripting armazenados por meio da funcionalidade do plugin de upload em formato zip. Isso pode ter consequências graves, incluindo a exfiltração de dados ou a instalação de malware na máquina do usuário. Os invasores também podem se passar por usuários autorizados acessando cookies de sessão, o que lhes permite realizar qualquer ação permitida pela conta do usuário.

Recomendações

Para versões anteriores à 2022.06, atualize para a versão 2022.06 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade do plugin de upload em formato zip para minimizar o risco de exploração. Evite usar a funcionalidade de upload vulnerável até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-1514

GHSA-P3W3-4PPM-C3F6

Produtos afetados

Facturascripts

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/1xxx/CVE-2022-1514.json · Exploit
• 🔥 https://huntr.dev/bounties/4ae2a917-843a-4ae4-8197-8425a596761c · Exploit
• https://github.com/NeoRazorX/facturascripts · Nota
• https://github.com/neorazorx/facturascripts/commit/aa9f28cb86467468f43486b77ddef7ff4d3c687e · Correção
• https://t.me/cibsecurity/41592 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-p3w3-4ppm-c3f6 · Aviso do Fabricante
• https://t.me/cvenotify/29811 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-1514 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-1514 · Aviso do Fabricante