PT-2024-24326 · Engenius · Engenius Esr580
CVSS v3.1
4.3
Média
| Vetor | AV:A/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Dispositivos EnGenius ESR580 A8J-EMR5000 (versões afetadas não especificadas)
Descrição
A vulnerabilidade permite que um invasor remoto realize ataques XSS armazenados, podendo levar à execução de código JavaScript arbitrário no contexto da sessão do usuário. Isso é feito por meio dos campos de entrada do SSID do Wi-Fi. Scripts da Web incorporados nos campos vulneráveis são executados imediatamente quando um usuário faz login na página de administração, afetando especificamente os pontos de extremidade da API “admin/wifi/wlan1” e “admin/wifi/wlan guest”.
Recomendações
Como solução temporária, considere restringir o acesso aos pontos de extremidade da API
/admin/wifi/wlan1 e /admin/wifi/wlan guest até que uma correção esteja disponível.Evite usar os campos de entrada de SSID de Wi-Fi na página de administração até que a vulnerabilidade seja resolvida.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Engenius Esr580