PT-2024-24326 · Engenius · Engenius Esr580

·

CVE-2024-31972

·

Publicado

2024-10-30

·

Atualizado

2024-11-01

CVSS v3.1

4.3

Média

VetorAV:A/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Dispositivos EnGenius ESR580 A8J-EMR5000 (versões afetadas não especificadas)
Descrição
A vulnerabilidade permite que um invasor remoto realize ataques XSS armazenados, podendo levar à execução de código JavaScript arbitrário no contexto da sessão do usuário. Isso é feito por meio dos campos de entrada do SSID do Wi-Fi. Scripts da Web incorporados nos campos vulneráveis são executados imediatamente quando um usuário faz login na página de administração, afetando especificamente os pontos de extremidade da API “admin/wifi/wlan1” e “admin/wifi/wlan guest”.
Recomendações
Como solução temporária, considere restringir o acesso aos pontos de extremidade da API /admin/wifi/wlan1 e /admin/wifi/wlan guest até que uma correção esteja disponível.
Evite usar os campos de entrada de SSID de Wi-Fi na página de administração até que a vulnerabilidade seja resolvida.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-31972

Produtos afetados

Engenius Esr580