PT-2024-16160 · Unknown · Localserver

Rafael Pedrero · Publicado 2024-10-23 · Atualizado 2024-10-24 · CVE-2024-10288

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

LocalServer versão 1.0.9

Descrição

Uma vulnerabilidade de Cross-Site Scripting (XSS) permite que um usuário remoto envie uma consulta especialmente criada a um usuário autenticado, podendo roubar os detalhes da sessão deste. Isso ocorre por meio do endpoint da API “/mlss/SubscribeToList”, sendo que o parâmetro ListName está vulnerável.

Recomendações

Para o LocalServer versão 1.0.9, como solução temporária, considere restringir o acesso ao endpoint da API “/mlss/SubscribeToList” ou evitar o uso do parâmetro ListName até que uma correção esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-10288

Produtos afetados

Localserver

Referências · 6

• https://incibe.es/en/incibe-cert/notices/aviso/multiple-xss-vulnerabilities-localserver · Nota
• https://t.me/cvedetector/8684 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-10288 · Aviso do Fabricante
• https://t.me/cvenotify/99301 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-10288 · Nota de Segurança
• https://t.me/cvenotify/99168 · Publicação no Telegram