PT-2022-27350 · Unknown · Rukovoditel

Anhdq201 · Publicado 2022-12-02 · Atualizado 2024-02-14 · CVE-2022-44950

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Rukovoditel versão 3.2.1

Descrição

Foi encontrada uma vulnerabilidade de cross-site scripting (XSS) armazenada na função “Adicionar novo campo” em “/index.php?module=entities/fields&entities id=24”. Isso permite que invasores executem scripts da web ou HTML arbitrários por meio de uma carga maliciosa injetada no campo Name.

Recomendações

Para o Rukovoditel versão 3.2.1, considere desativar a função “Adicionar novo campo” em “/index.php?module=entities/fields&entities id=24” até que uma correção esteja disponível para impedir a exploração. Restrinja o acesso ao campo Name na função afetada para minimizar o risco de execução de scripts web ou HTML arbitrários. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-44950

Produtos afetados

Rukovoditel

Referências · 7

• 🔥 https://github.com/anhdq201/rukovoditel/issues/10 · Exploit
• https://t.me/cvenotify/39214 · Publicação no Telegram
• http://rukovoditel.com · Nota
• https://t.me/cibsecurity/53836 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-44950 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-44950 · Aviso do Fabricante
• https://t.me/cvenotify/38999 · Publicação no Telegram