PT-2024-15717 · Unknown · Projectworlds Visitor Management System

Torada · Publicado 2024-01-17 · Atualizado 2024-05-17 · CVE-2024-0650

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Sistema de gerenciamento de visitantes do Project Worlds, versão 1.0

Descrição

Foi encontrada uma vulnerabilidade no Sistema de Gerenciamento de Visitantes do Project Worlds. Ela foi classificada como problemática e afeta uma função desconhecida do arquivo dataset.php do componente URL Handler. A manipulação do argumento name com a entrada "> leva a um ataque de cross-site scripting. É possível lançar o ataque remotamente.

Recomendações

Para o Sistema de Gerenciamento de Visitantes do Project Worlds versão 1.0, considere desativar o arquivo dataset.php ou restringir o acesso a ele até que uma correção esteja disponível. Evite usar o argumento name no componente URL Handler afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-0650

Produtos afetados

Projectworlds Visitor Management System

Referências · 7

• 🔥 https://torada.notion.site/XSS-at-datatest-php-660aabd1437d4df7a492d19a461a1f3c?pvs=4 · Exploit
• https://osv.dev/vulnerability/CVE-2024-0650 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1747768899683160520 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-0650 · Nota de Segurança
• https://vuldb.com/?ctiid.251376 · Nota
• https://twitter.com/VulmonFeeds/status/1747796375285162190 · Publicação no Twitter
• https://vuldb.com/?id.251376 · Nota