PT-2022-19096 · Frappe · Frappe Erpnext

CVE-2022-28598 · Publicado 2022-08-22 · Atualizado 2023-04-06

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Frappe ERPNext versão 12.29.0

Descrição

O problema decorre da falha do software em neutralizar adequadamente as entradas controladas pelo usuário antes de serem inseridas na saída utilizada como página da web exibida a outros usuários, o que pode levar a um potencial ataque XSS.

Recomendações

Para o Frappe ERPNext versão 12.29.0, atualize para uma versão que trate adequadamente as entradas do usuário para evitar ataques XSS. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-28598

Produtos afetados

Frappe Erpnext

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/28xxx/CVE-2022-28598.json · Exploit
• 🔥 https://exploit-db.com/exploits/51255 · Exploit
• 🔥 https://github.com/patrickdeanramos/CVE-2022-28598/blob/main/ERPNext%20-%2012.29.0.pdf · Exploit
• http://erpnext.com · Aviso do Fabricante
• http://frappe.com · Aviso do Fabricante
• http://packetstormsecurity.com/files/171730/ERPNext-12.29-Cross-Site-Scripting.html · Nota
• https://osv.dev/vulnerability/CVE-2022-28598 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-28598 · Nota de Segurança
• https://t.me/cibsecurity/48528 · Publicação no Telegram