PT-2024-14062 · Kofax+1 · Capture+1

Dawid Maåecki + 3 · Publicado 2024-01-11 · Atualizado 2024-01-18 · CVE-2023-5118

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do software anteriores à 11.1.x

Descrição

O aplicativo está vulnerável a um ataque de Stored Cross-Site Scripting (XSS) no endpoint “/sofer/DocumentService.asc/SaveAnnotation”, onde os dados de entrada transmitidos via método POST nos parâmetros author e text não são adequadamente sanitizados e validados. Isso permite a injeção de código JavaScript malicioso. A vulnerabilidade foi identificada na função de adição de novas anotações durante a edição do conteúdo do documento.

Recomendações

Para versões anteriores à 11.1.x, atualize para uma versão superior à 11.1.x para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “/sofer/DocumentService.asc/SaveAnnotation” ou desativar a função de adição de novas anotações até que um patch esteja disponível. Evite usar os parâmetros author e text no endpoint da API afetado até que o problema seja resolvido.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2023-5118

Produtos afetados

Capture

Kofax Capture

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2023-5118 · Nota de Segurança
• https://cert.pl/posts/2024/01/CVE-2023-5118 · Nota
• https://osv.dev/vulnerability/CVE-2023-5118 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1745467913044128109 · Publicação no Twitter
• https://cert.pl/en/posts/2024/01/CVE-2023-5118 · Nota
• https://twitter.com/VulmonFeeds/status/1745500940088574089 · Publicação no Twitter
• https://t.me/cvenotify/67868 · Publicação no Telegram