PT-2024-16159 · Unknown · Localserver

Rafael Pedrero · Publicado 2024-10-23 · Atualizado 2024-10-24 · CVE-2024-10287

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

LocalServer versão 1.0.9

Descrição

Uma vulnerabilidade de Cross-Site Scripting (XSS) permite que um usuário remoto envie uma consulta especialmente criada a um usuário autenticado e roube os detalhes de sua sessão. Isso é feito por meio do endpoint da API “/mlss/ForgotPassword”, especificamente através da manipulação do parâmetro ListName.

Recomendações

Para o LocalServer versão 1.0.9, como solução temporária, considere restringir o acesso ao endpoint “/mlss/ForgotPassword” até que uma correção esteja disponível. Além disso, evite usar o parâmetro ListName neste endpoint para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-10287

Produtos afetados

Localserver

Referências · 6

• https://incibe.es/en/incibe-cert/notices/aviso/multiple-xss-vulnerabilities-localserver · Nota
• https://t.me/cvenotify/99300 · Publicação no Telegram
• https://t.me/cvedetector/8683 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-10287 · Aviso do Fabricante
• https://t.me/cvenotify/99167 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-10287 · Nota de Segurança