PT-2022-17048 · Ice Hrm · Ice Hrm

Cooliscool · Publicado 2022-02-28 · Atualizado 2022-03-09 · CVE-2022-25015

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Ice Hrm versão 30.0.0.OS

Descrição

Uma vulnerabilidade de script entre sites (XSS) armazenada permite que invasores roubem cookies por meio de uma carga maliciosa inserida no campo Nome. Isso pode ser explorado para obter acesso não autorizado às sessões dos usuários.

Recomendações

Para o Ice Hrm versão 30.0.0.OS, considere restringir a entrada no campo Nome para impedir a inserção de cargas maliciosas até que uma correção esteja disponível. Como solução temporária, monitore de perto as sessões dos usuários em busca de sinais de acesso não autorizado. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-25015

Produtos afetados

Ice Hrm

Referências · 5

• 🔥 https://github.com/gamonoid/icehrm/issues/285 · Exploit
• https://osv.dev/vulnerability/CVE-2022-25015 · Aviso do Fabricante
• https://t.me/cvenotify/27951 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-25015 · Nota de Segurança
• https://t.me/cibsecurity/38201 · Publicação no Telegram