PT-2024-31384 · Syncope · Syncope
Kasper Karlsson
+1
·
Publicado
2024-10-24
·
Atualizado
2025-09-01
·
CVE-2024-45031
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do Syncope anteriores à 3.0.9
Descrição
A vulnerabilidade permite que um invasor contorne a sanitização de HTML usando tags HTML incompletas ao editar objetos no Syncope Console. Isso possibilita a injeção de cargas XSS armazenadas, que podem ser acionadas para outros usuários durante o uso normal do aplicativo. Além disso, cargas XSS podem ser injetadas no Syncope Enduser ao editar “Informações Pessoais” ou “Solicitações do Usuário”, e essas cargas podem ser acionadas para administradores no Syncope Console, permitindo o sequestro de sessão.
Recomendações
Para versões anteriores à 3.0.9, atualize para a versão 3.0.9 para corrigir a vulnerabilidade. Como solução temporária, considere restringir a edição de objetos no Syncope Console e limitar o acesso às seções “Informações Pessoais” e “Solicitações do Usuário” no Syncope Enduser para minimizar o risco de exploração.
Correção
XSS
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Syncope