PT-2024-25996 · Sunhillo · Sunhillo Sureline

Silent6Trinity · Publicado 2024-05-16 · Atualizado 2024-07-03 · CVE-2024-34582

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Sunhillo SureLine até a 8.10.0

Descrição

A vulnerabilidade permite um ataque XSS (Cross-Site Scripting) no parâmetro userid change do cgi/usrPasswd.cgi, dentro do recurso “Esqueci a senha”. Isso pode ser explorado através do endpoint /cgi/usrPasswd.cgi, visando especificamente o parâmetro userid change.

Recomendações

Para as versões do Sunhillo SureLine até a 8.10.0, considere desativar o recurso “Esqueci a senha” até que um patch esteja disponível. Restrinja o acesso ao endpoint /cgi/usrPasswd.cgi para minimizar o risco de exploração. Evite usar o parâmetro userid change no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-34582

Produtos afetados

Sunhillo Sureline

Referências · 6

• 🔥 https://github.com/silent6trinity/CVE-2024-34582 · Exploit
• https://twitter.com/CVEnew/status/1791116163545755848 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1791092282164117817 · Publicação no Twitter
• https://t.me/cvenotify/80039 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-34582 · Nota de Segurança
• https://t.me/cvenotify/80050 · Publicação no Telegram