PT-2022-7193 · Unknown · Rukovoditel

CVE-2022-43185 · Publicado 2022-10-19 · Atualizado 2022-10-20

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Rukovoditel versão 3.2.1

Descrição

Uma vulnerabilidade de script entre sites (XSS) armazenada no módulo Configuration/Holidays permite que invasores executem scripts da Web ou HTML arbitrários por meio de uma carga maliciosa injetada no parâmetro Name. Isso pode ser explorado por um invasor remoto para realizar um ataque de script entre sites.

Recomendações

Para o Rukovoditel versão 3.2.1, considere desativar o módulo Configuration/Holidays até que um patch esteja disponível para impedir a exploração da vulnerabilidade de XSS armazenado. Evite usar o parâmetro Name no módulo afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2023-08997

CVE-2022-43185

Produtos afetados

Rukovoditel

Referências · 6

• 🔥 https://github.com/Kubozz/rukovoditel-3.2.1/issues/1 · Exploit
• https://osv.dev/vulnerability/CVE-2022-43185 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-43185 · Nota de Segurança
• https://t.me/cibsecurity/51785 · Publicação no Telegram
• https://vuldb.com/es/?id.211895 · Nota
• https://bdu.fstec.ru/vul/2023-08997 · Nota de Segurança