PT-2022-21454 · Wwbn · Avideo
CVSS v3.1
9.6
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
WWBN AVideo versões 11.6 e dev master commit 3f7c0364
Descrição
Existe uma vulnerabilidade de cross-site scripting na funcionalidade de alertas do rodapé. Isso é causado por uma solicitação HTTP especialmente criada que pode levar à execução arbitrária de JavaScript. Um invasor pode explorar essa vulnerabilidade fazendo com que um usuário autenticado envie uma solicitação HTTP maliciosa. O problema decorre do parâmetro
msg, que é inserido no documento sem sanitização adequada.Recomendações
Para o WWBN AVideo versão 11.6, considere desativar a funcionalidade de alertas no rodapé até que um patch esteja disponível.
Para o WWBN AVideo dev master commit 3f7c0364, restrinja o uso do parâmetro
msg na funcionalidade de alertas no rodapé para minimizar o risco de exploração.Como solução alternativa temporária, evite usar o parâmetro
msg na funcionalidade afetada até que a vulnerabilidade seja resolvida.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Avideo