PT-2024-32097 · Ellevo · Ellevo

Dtmp3St + 1 · Publicado 2024-09-25 · Atualizado 2024-10-02 · CVE-2024-46655

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Ellevo versão 6.2.0.38160

Descrição

Uma vulnerabilidade de cross-site scripting (XSS) refletido permite que invasores executem código arbitrário no contexto do navegador de um usuário por meio de uma carga maliciosa ou URL especialmente criada. Esse problema permite que invasores executem qualquer código no navegador de um usuário.

Recomendações

Para a versão 6.2.0.38160 do Ellevo, como solução temporária, considere restringir o acesso a endpoints de API ou URLs potencialmente vulneráveis que possam ser usados para entregar uma carga maliciosa até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-46655

Produtos afetados

Ellevo

Referências · 9

• 🔥 https://csflabs.github.io/cve/2024/09/24/cve-2024-46655-Cross-Site-Scripting-%28XSS%29-%28Reflected%29-in-Ellevo-application.html · Exploit
• https://t.me/cvedetector/6357 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-46655 · Nota de Segurança
• https://ellevo.com · Nota
• https://twitter.com/VulmonFeeds/status/1839052809011892283 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1838997605126479890 · Publicação no Twitter
• https://t.me/cvenotify/96054 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-46655 · Aviso do Fabricante
• https://t.me/cvenotify/96823 · Publicação no Telegram