PT-2024-24026 · Francoisjacquet · Rosariosis

Louay Khammassi · Publicado 2024-04-01 · Atualizado 2024-08-01 · CVE-2024-3138

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.0

Média

Vetor base

AV:N/AC:L/Au:S/C:N/I:P/A:N

Nome do software vulnerável e versões afetadas

francoisjacquet RosarioSIS versão 11.5.1

Descrição

Uma vulnerabilidade em disputa afeta o componente “Add Portal Note”, levando a um ataque de cross-site scripting. O ataque pode ser iniciado remotamente. O fornecedor observa que o PDF é aberto pelo aplicativo do navegador em uma sandbox, o que deveria impedir o acesso aos dados do site.

Recomendações

Para a versão 11.5.1, considere desativar o componente Add Portal Note até que a vulnerabilidade seja resolvida e verifique a eficácia do isolamento da sandbox para minimizar riscos potenciais.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-3138

GHSA-R32G-W9CV-9FGC

Produtos afetados

Rosariosis

Referências · 9

• 🔥 https://powerful-bulb-c36.notion.site/Stored-xss-via-malicious-PDF-upload-98fb1ea6b9bf4ddfaf04d61b2c05410a · Exploit
• https://github.com/francoisjacquet/rosariosis · Nota
• https://osv.dev/vulnerability/GHSA-r32g-w9cv-9fgc · Aviso do Fabricante
• https://vuldb.com/?id.258911 · Nota
• https://twitter.com/oktsec/status/1777562532980441408 · Publicação no Twitter
• https://vuldb.com/?ctiid.258911 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-3138 · Nota de Segurança
• https://vuldb.com/?submit.307450 · Nota
• https://t.me/cvenotify/88326 · Publicação no Telegram