PT-2022-15892 · Sysaid · Sysaid
Publicado
2022-05-12
·
Atualizado
2022-05-23
·
CVE-2022-23165
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Sysaid versão 14.2.0
Descrição
O parâmetro
helpPageName utilizado pela página “/help/treecontent.jsp” apresenta uma vulnerabilidade de Cross-Site Scripting refletido. Para explorar essa vulnerabilidade, o produto afetado deve exibir as páginas de ajuda offline. Um invasor pode obter acesso a informações confidenciais ou executar código do lado do cliente na sessão do navegador do usuário vítima, solicitando que este abra um link malicioso. Isso pode ser usado para realizar ataques de phishing, permitindo que o invasor receba dados confidenciais, como detalhes do servidor, nomes de usuário, estações de trabalho etc., e execute ações como o upload de arquivos ou a exclusão de chamadas do sistema.Recomendações
Para a versão 14.2.0 do Sysaid, como solução temporária, considere restringir o acesso à página
/help/treecontent.jsp e evitar o uso do parâmetro helpPageName até que um patch esteja disponível. Além disso, certifique-se de que as Páginas de Ajuda Offline não estejam expostas para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Sysaid