PT-2024-27770 · Vermeg · Vermeg Agilereporter

Crashpark · Publicado 2024-06-17 · Atualizado 2024-08-21 · CVE-2024-37828

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Vermeg Agile Reporter versão 23.2.1

Descrição

A vulnerabilidade consiste em um cross-site scripting (XSS) armazenado que permite que invasores executem scripts da web ou HTML arbitrários por meio de uma carga maliciosa injetada no campo Message do módulo Set Broadcast Message. Isso permite que invasores possam manipular o comportamento do aplicativo web ou roubar dados do usuário.

Recomendações

Para o Vermeg Agile Reporter versão 23.2.1, considere desativar o módulo Set Broadcast Message ou restringir o acesso a ele até que uma correção esteja disponível para impedir a exploração da vulnerabilidade XSS armazenada. Além disso, evite usar o campo Message no módulo Set Broadcast Message até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-37828

Produtos afetados

Vermeg Agilereporter

Referências · 5

• https://nvd.nist.gov/vuln/detail/CVE-2024-37828 · Nota de Segurança
• https://t.me/cvenotify/91558 · Publicação no Telegram
• https://t.me/cvenotify/83581 · Publicação no Telegram
• https://crashpark.weebly.com/blog/2-stored-xss-in-agilereporter-213-by-vermeg · Nota
• https://vermeg.com/agile-reporter · Nota