PT-2024-15653 · Wic1200 · Wic1200

Hadess · Publicado 2024-01-16 · Atualizado 2024-01-23 · CVE-2024-0554

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

WIC1200 versão 1.1

Descrição

Foi identificada uma vulnerabilidade de script entre sites (XSS) que permite que um usuário autenticado armazene um código JavaScript malicioso no parâmetro device model por meio da URL “/setup/diags ir learn.asp”. Isso permite que o invasor recupere os detalhes da sessão de outro usuário.

Recomendações

Para a versão 1.1, considere desativar o acesso ao endpoint “/setup/diags ir learn.asp” até que uma correção esteja disponível. Restrinja a capacidade de armazenar dados no parâmetro device model para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-0554

Produtos afetados

Wic1200

Referências · 6

• https://twitter.com/CVEnew/status/1747201289019150771 · Publicação no Twitter
• https://incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-full-compass-systems-wic1200 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-0554 · Nota de Segurança
• https://t.me/cvenotify/67527 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-0554 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1747249286746689704 · Publicação no Twitter