PT-2022-22004 · I3Geo · I3Geo

Wagner Dracha · Publicado 2022-07-14 · Atualizado 2023-10-18 · CVE-2022-34094

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Portal do Software Público Brasileiro i3geo versão 7.0.5

Descrição

O problema está relacionado a uma vulnerabilidade de cross-site scripting (XSS). Essa vulnerabilidade foi descoberta por meio do arquivo request token.php, o que sugere que ela pode estar relacionada ao tratamento de tokens de solicitação. Cross-site scripting (XSS) é um tipo de vulnerabilidade de segurança que pode permitir que um invasor injete scripts maliciosos em um site, levando potencialmente ao acesso não autorizado ou ao controle de sessões de usuários.

Recomendações

Para a versão 7.0.5, considere restringir o acesso ao arquivo request token.php até que uma correção esteja disponível. Como solução temporária, desativar a execução de scripts a partir desse arquivo pode ajudar a mitigar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-34094

Produtos afetados

I3Geo

Referências · 9

• 🔥 https://github.com/edmarmoretti/i3geo/issues/5 · Exploit
• 🔥 https://github.com/wagnerdracha/ProofOfConcept/blob/main/i3geo_proof_of_concept.txt#L65 · Exploit
• 🔥❌ https://github.com/saladesituacao/i3geo/issues/5 · Exploit, Deleted
• https://t.me/cibsecurity/46288 · Publicação no Telegram
• https://t.me/cvenotify/33105 · Publicação no Telegram
• https://owasp.org/www-community/attacks/xss · Nota
• https://softwarepublico.gov.br/social/i3geo · Nota
• https://osv.dev/vulnerability/CVE-2022-34094 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-34094 · Nota de Segurança