PT-2022-1461 · Glpi+2 · Glpi+2

Janosvaszi + 1 · Publicado 2022-01-27 · Atualizado 2024-05-22 · CVE-2022-21719

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.4

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões do GLPI anteriores à 9.5.7

Descrição

O problema está relacionado a um ataque de script entre sites refletido (reflected cross-site scripting) no GLPI, um pacote de software gratuito para gestão de ativos e TI. Isso pode permitir que um invasor remoto realize ataques de script entre sites, explorando a falta de medidas de proteção na estrutura da página da web. Não há soluções alternativas conhecidas para este problema.

Recomendações

Para versões anteriores à 9.5.7, atualize para a versão 9.5.7 para resolver o problema. Como solução temporária, considere restringir o acesso a páginas da web ou módulos potencialmente vulneráveis até que o patch seja aplicado.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

ALT-PU-2022-1463

ALT-PU-2022-1514

ALT-PU-2022-1526

ALT-PU-2022-2614

ALT-PU-2022-2624

ALT-PU-2022-2665

ALT-PU-2023-7633

ALT-PU-2024-8030

ALT-PU-2024-8094

BDU:2022-00590

CVE-2022-21719

GHSA-6CJ4-G839-GJ5J

Produtos afetados

Alt Linux

Glpi

Red Os

Referências · 24

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/glpi_htmlawed_php_injection.rb · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21719.json · Exploit
• 🔥 https://github.com/Orange-Cyberdefense/CVE-repository/blob/master/PoCs/POC_2022-35914.sh · Exploit
• 🔥 https://github.com/Orange-Cyberdefense/CVE-repository · Exploit
• 🔥 https://github.com/cactuschibre/CVE-2022-35914-poc · Exploit
• 🔥 https://github.com/cosad3s/CVE-2022-35914-poc · Exploit
• 🔥 https://github.com/Kitsun3Sec/exploits/tree/master/cms/GLPI/GLPI-stored-XSS · Exploit
• 🔥 https://github.com/Wangyanan131/CVE-2022-31061 · Exploit
• 🔥 https://github.com/Vu0r1-sec/CVE-2022-31061 · Exploit
• https://github.com/glpi-project/glpi/security/advisories/GHSA-6cj4-g839-gj5j · Nota
• https://github.com/glpi-project/glpi/releases/tag/9.5.7 · Nota
• https://github.com/glpi-project/glpi/commit/e9b16bc8e9b61ebb2d35b96b9c71cd25c5af9e48 · Correção
• https://redos.red-soft.ru/support/secure · Nota
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/uyazvimost-glpi-cve-2022-21720-cve-2022-21719 · Nota
• https://t.me/cvenotify/25961 · Publicação no Telegram