PT-2022-17111 · Inhand Networks · Inrouter302

Francesco Benvenuto · CVE-2022-25172 · Publicado 2022-05-12 · Atualizado 2023-06-23

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

InHand Networks InRouter302 versão 3.5.4

Descrição

Existe uma falha de divulgação de informações na funcionalidade do cookie de sessão da interface web. O cookie de sessão não possui o sinalizador HttpOnly, tornando-o acessível via JavaScript. Isso permite que um invasor capaz de realizar um ataque de script entre sites (XSS) roube o cookie de sessão.

Recomendações

Para o InHand Networks InRouter302 versão 3.5.4, considere definir o sinalizador HttpOnly para o cookie de sessão a fim de impedir que ele seja acessado via JavaScript como medida de mitigação temporária. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

Incorrect Permission

Enumeração de Fraquezas

CWE-732

CWE-1004

Identificadores relacionados

CVE-2022-25172

Produtos afetados

Inrouter302

Referências · 4

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2022-1470 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-25172 · Nota de Segurança
• https://inhandnetworks.com/upload/attachment/202205/10/InHand-PSA-2022-01.pdf · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-25172 · Aviso do Fabricante