PT-2022-4373 · Unknown · Yetiforcecrm

Publicado 2022-08-22 · Atualizado 2022-08-24 · CVE-2022-2829

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do YetiForceCRM anteriores à 6.4.0

Descrição

O problema está relacionado a uma vulnerabilidade do tipo Cross-site Scripting (XSS) - Stored no sistema YetiForceCRM, causada pela falta de medidas de proteção na estrutura da página da web. Essa vulnerabilidade pode ser explorada por um invasor remoto para realizar ataques de cross-site scripting.

Recomendações

Para versões anteriores à 6.4.0, atualize para a versão 6.4.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a áreas confidenciais do aplicativo web para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2022-05236

CVE-2022-2829

Produtos afetados

Yetiforcecrm

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/2xxx/CVE-2022-2829.json · Exploit
• 🔥 https://huntr.dev/bounties/d6eaa453-9758-41b7-8c38-fd878d6aeab4 · Exploit
• https://github.com/yetiforcecompany/yetiforcecrm/commit/2c14baaf8dbc7fd82d5c585f2fa0c23528450618 · Correção
• https://t.me/cvenotify/35068 · Publicação no Telegram
• https://t.me/cibsecurity/48563 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-05236 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2022-2829 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-2829 · Aviso do Fabricante