PT-2024-17685 · Chunghwa Telecom · Tenderdoctransfer

Chumy Tsai · Publicado 2024-12-16 · Atualizado 2024-12-21 · CVE-2024-12641

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

TenderDocTransfer da Chunghwa Telecom (versões afetadas não especificadas)

Descrição

O aplicativo apresenta uma vulnerabilidade de Cross-site scripting refletido. Ele configura um servidor web local simples e fornece APIs para comunicação com o site de destino. Devido à falta de proteção CSRF para as APIs, invasores remotos não autenticados poderiam usar APIs específicas por meio de phishing para executar código JavaScript arbitrário no navegador do usuário. Como o servidor web configurado pelo aplicativo suporta recursos do Node.js, os invasores podem aproveitar isso para executar comandos do sistema operacional.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-12641

Produtos afetados

Tenderdoctransfer

Referências · 11

• https://twcert.org.tw/tw/cp-132-8292-4fd98-1.html · Nota
• https://twitter.com/VulmonFeeds/status/1868584655127036401 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1868548912845570105 · Publicação no Twitter
• https://t.me/cvenotify/104351 · Publicação no Telegram
• https://t.me/cvedetector/12974 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1868544427641163897 · Publicação no Twitter
• https://twitter.com/cracbot/status/1870348527765004346 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-12641 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-12641 · Nota de Segurança
• https://t.me/latest_high_impact_cve/1658 · Publicação no Telegram
• https://twcert.org.tw/en/cp-139-8299-42168-2.html · Nota