PT-2024-24132 · Unknown · Computer Laboratory Management System

Emirhan Mutlu · Publicado 2024-04-09 · Atualizado 2024-07-03 · CVE-2024-31544

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Sistema de Gestão de Laboratórios de Informática, versão 1.0

Descrição

Uma vulnerabilidade de cross-site scripting (XSS) armazenada permite que invasores executem código JavaScript arbitrário ao incluir cargas maliciosas nos parâmetros remarks, borrower name, faculty department no endpoint da API “/classes/Master.php?f=save record”.

Recomendações

Para o Sistema de Gerenciamento de Laboratórios de Informática versão 1.0, considere desativar os parâmetros remarks, borrower name, faculty department no endpoint da API “/classes/Master.php?f=save record” até que uma correção esteja disponível. Restrinja o acesso ao arquivo Master.php para minimizar o risco de exploração. Evite usar os parâmetros remarks, borrower name, faculty department no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-31544

Produtos afetados

Computer Laboratory Management System

Referências · 6

• 🔥 https://github.com/emirhanmtl/vuln-research/blob/main/Stored-XSS-Computer-Laboratory-Management-System-PoC.md · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2024-31544 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-31544 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1777687038344462369 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1777706791486235025 · Publicação no Twitter
• https://t.me/cvenotify/76150 · Publicação no Telegram