PT-2022-6243 · Vinteo · Vinteo Vcc

D. Kiryukhin · Publicado 2022-11-01 · Atualizado 2025-02-05 · CVE-2022-48020

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.4

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas

Vinteo VCC versão 2.36.4

Descrição

O problema está relacionado à falta de proteção na estrutura da página da web, permitindo que um invasor remoto realize um ataque de script entre sites (XSS). Essa vulnerabilidade permite que invasores injetem código arbitrário, que será executado pelo navegador do usuário vítima. O ataque é realizado por meio do parâmetro conference.

Recomendações

Para a versão 2.36.4, considere desativar o acesso ao parâmetro vulnerável conference até que uma correção esteja disponível. Restringir o uso desse parâmetro pode ajudar a minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2023-00632

CVE-2022-48020

Produtos afetados

Vinteo Vcc

Referências · 9

• 🔥 https://seq.team/en/blog/reflected-cross-site-scripting-xss-in-vinteo-vcc · Exploit
• https://bdu.fstec.ru/vul/2023-00632 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2022-48020 · Nota de Segurança
• https://t.me/cibsecurity/64044 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-48020 · Aviso do Fabricante
• https://t.me/cvenotify/110141 · Publicação no Telegram
• https://seq.team/en · Nota
• https://vinteo.com/ru/news/463-obnovlenie-bezopasnosti-servera-vks-vinteo-2 · Nota
• https://linkedin.com/in/dmitry-kiryukhin-b5741421b · Nota