PT-2024-25295 · Ilias · Ilias

Daniel Schlecht · Publicado 2024-05-21 · Atualizado 2024-07-03 · CVE-2024-33525

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões 7.20 a 7.29 do ILIAS

Versões 8.4 a 8.10 do ILIAS

Versão 9.0 do ILIAS

Descrição

Uma vulnerabilidade de Stored Cross-site Scripting (XSS) no recurso “Importação de unidades organizacionais e título da unidade organizacional” permite que invasores remotos autenticados com privilégios administrativos injetem scripts da web ou HTML arbitrários por meio do upload de arquivos XML.

Recomendações

Para as versões 7.20 a 7.29 do ILIAS, atualize para uma versão fora desse intervalo para mitigar o risco.

Para as versões 8.4 a 8.10 do ILIAS, atualize para uma versão fora desse intervalo para mitigar o risco.

Para a versão 9.0 do ILIAS, atualize para uma versão mais recente para mitigar o risco.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-33525

Produtos afetados

Ilias

Referências · 9

• https://docu.ilias.de/ilias.php?baseClass=illmpresentationgui&cmd=layout&ref_id=1719&obj_id=170040 · Nota
• https://t.me/cvenotify/80682 · Publicação no Telegram
• https://t.me/cvenotify/80889 · Publicação no Telegram
• https://insinuator.net/2024/05/security-advisory-achieving-php-code-execution-in-ilias-elearning-lms-before-v7-30-v8-11-v9-1 · Nota
• https://docu.ilias.de/ilias.php?baseClass=illmpresentationgui&cmd=layout&ref_id=1719&obj_id=159938 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-33525 · Nota de Segurança
• https://docu.ilias.de/ilias.php?baseClass=illmpresentationgui&cmd=layout&ref_id=1719&obj_id=170029 · Nota
• https://twitter.com/CVEnew/status/1793284032379388118 · Publicação no Twitter
• https://t.me/cvenotify/80612 · Publicação no Telegram