PT-2022-20740 · Magicpin · Magicpin

Publicado 2022-06-14 · Atualizado 2022-06-27 · CVE-2022-31447

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Magicpin versão 3.4

Descrição

Uma vulnerabilidade de injeção de entidade externa XML (XXE) permite que invasores acessem informações confidenciais do banco de dados por meio de um arquivo SVG malicioso.

Recomendações

Para o Magicpin versão 3.4, atualize para uma versão que corrija a vulnerabilidade de injeção de entidade externa XML para impedir que invasores acessem informações confidenciais do banco de dados.

Como solução alternativa temporária, considere restringir o processamento de arquivos SVG para minimizar o risco de exploração.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2022-31447

Produtos afetados

Magicpin

Referências · 6

• 🔥 https://gist.github.com/Mr-Akuma/4f6261007fcfbd96fa2c2d8ad4a5e1ca · Exploit
• https://t.me/cibsecurity/44353 · Publicação no Telegram
• https://magicpin.in · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-31447 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-31447 · Nota de Segurança
• https://t.me/cvenotify/31559 · Publicação no Telegram