PT-2024-13634 · Wwbn · Avideo

Claudio Bozzato · Publicado 2024-01-10 · Atualizado 2024-01-17 · CVE-2023-48730

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.5

Alta

Vetor base

AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

WWBN AVideo dev master commit 15fed957fb

Descrição

Existe uma vulnerabilidade de script entre sites (XSS) na funcionalidade de nome de usuário do arquivo navbarMenuAndLogo.php. Isso permite que um invasor execute código JavaScript arbitrário por meio de uma solicitação HTTP especialmente criada. Um invasor pode explorar essa vulnerabilidade levando um usuário a visitar uma página da Web maliciosa.

Recomendações

Para o WWBN AVideo dev master commit 15fed957fb, considere desativar a funcionalidade de nome de usuário no arquivo navbarMenuAndLogo.php até que um patch esteja disponível para impedir a execução arbitrária de JavaScript. Restrinja o acesso a essa funcionalidade para minimizar o risco de exploração. Evite usar o campo de nome de usuário no arquivo navbarMenuAndLogo.php até que a vulnerabilidade seja resolvida.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2023-48730

Produtos afetados

Avideo

Referências · 4

• https://twitter.com/CVEnew/status/1745111405668278714 · Publicação no Twitter
• https://talosintelligence.com/vulnerability_reports/TALOS-2023-1882 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-48730 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2023-48730 · Aviso do Fabricante