PT-2022-15251 · Teedy · Teedy

Publicado 2022-01-10 · Atualizado 2022-01-21 · CVE-2022-22114

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Teedy da v1.5 à v1.9

Descrição

O problema diz respeito a Cross-Site Scripting (XSS) refletido na funcionalidade de pesquisa por “termo de pesquisa”, que não é suficientemente sanitizada, permitindo a injeção de scripts arbitrários. Esses scripts são executados no navegador da vítima quando ela acessa uma URL maliciosa. Em casos graves, a vítima pode ser um administrador com privilégios elevados, e os scripts injetados podem extrair o ID da sessão, levando à apropriação total da conta por um invasor não autenticado.

Recomendações

Para as versões v1.5 a v1.9, considere desativar temporariamente a funcionalidade de pesquisa até que um patch esteja disponível para impedir a injeção de scripts arbitrários. Restrinja o acesso à página de resultados de pesquisa para minimizar o risco de exploração. Evite usar a funcionalidade search term nas versões afetadas até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-22114

Produtos afetados

Teedy

Referências · 5

• 🔥 https://whitesourcesoftware.com/vulnerability-database/CVE-2022-22114 · Exploit
• https://github.com/sismics/docs/commit/4951229576d6892dc58ab8c572e73639ca82d80c · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-22114 · Nota de Segurança
• https://t.me/cibsecurity/35192 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-22114 · Aviso do Fabricante