PT-2022-15245 · Unknown · Daybyday Crm

Publicado 2022-01-05 · Atualizado 2022-01-08 · CVE-2022-22109

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Daybyday CRM versão 2.2.0

Descrição

A vulnerabilidade permite que usuários de aplicativos com privilégios baixos armazenem scripts maliciosos no campo title de novas tarefas. Esses scripts são executados no navegador da vítima quando ela abre a página “/tasks” para visualizar todas as tarefas. Trata-se de uma vulnerabilidade de Stored Cross-Site Scripting (XSS).

Recomendações

Para o Daybyday CRM versão 2.2.0, considere desativar a possibilidade de inserir scripts no campo title de novas tarefas até que uma correção esteja disponível. Restrinja o acesso à página “/tasks” para minimizar o risco de exploração. Evite usar o campo title na funcionalidade de criação de tarefas afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-22109

GHSA-JR37-66PJ-36V7

Produtos afetados

Daybyday Crm

Referências · 7

• https://github.com/Bottelet/DaybydayCRM/commit/002dc75f400cf307bd00b71a5a93f1e26e52cee2 · Correção
• https://github.com/Bottelet/DaybydayCRM · Nota
• https://t.me/cibsecurity/34987 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-22109 · Nota de Segurança
• https://whitesourcesoftware.com/vulnerability-database/CVE-2022-22109 · Nota
• https://osv.dev/vulnerability/GHSA-jr37-66pj-36v7 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-22109 · Aviso do Fabricante