PT-2024-19264 · Avo · Avo
Mys7Ic
·
Publicado
2024-01-16
·
Atualizado
2024-01-24
·
CVE-2024-22191
CVSS v3.1
7.3
Alta
| Vetor | AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do Avo 2.46.0 a 3.2.3
Descrição
Foi identificada uma vulnerabilidade de script entre sites (XSS) armazenada no campo
key value do Avo. Essa vulnerabilidade poderia permitir que um invasor executasse código JavaScript arbitrário no navegador da vítima. O valor de key value é inserido diretamente no código HTML e não é devidamente sanitizado antes de ser inserido no código HTML. Essa vulnerabilidade poderia ser usada para roubar informações confidenciais das vítimas, que poderiam ser utilizadas para sequestrar as contas das vítimas ou redirecioná-las para sites maliciosos.Recomendações
Para as versões 2.46.0 a 3.2.3 do Avo, atualize para a versão 3.2.4 ou 2.47.0 para resolver o problema.
Como solução temporária, considere desativar o campo
key value até que um patch esteja disponível.Restrinja o acesso ao campo
key value para minimizar o risco de exploração.Evite usar o campo
key value nas versões afetadas do Avo até que o problema seja resolvido.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Avo