PT-2024-40512 · Unknown · Phpxmlrpc/Extras

Publicado 2024-05-20 · Atualizado 2024-05-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do phpxmlrpc/extras anteriores à 0.6.1

Descrição

A vulnerabilidade está presente na classe documenting xmlrpc server durante o processamento do parâmetro methodName em solicitações GET, especificamente através do endpoint da API, permitindo um ataque de Cross-Site Scripting (XSS).

Recomendações

Para versões anteriores à 0.6.1, atualize para a versão 0.6.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à classe documenting xmlrpc server ou evitar o uso do parâmetro methodName em solicitações GET até que a atualização seja aplicada.

Correção

XSS

Enumeração de Fraquezas

CWE-80

Identificadores relacionados

GHSA-WW6P-Q26W-FR6M

Produtos afetados

Phpxmlrpc/Extras

Referências · 5

• https://github.com/FriendsOfPHP/security-advisories/blob/master/phpxmlrpc/extras/2017-10-29.yaml · Nota
• https://github.com/gggeek/phpxmlrpc-extras · Nota
• https://github.com/gggeek/phpxmlrpc-extras/releases/tag/0.6.1 · Nota
• https://github.com/gggeek/phpxmlrpc-extras/commit/65c336e3def9ce71b3e799104d3a6ad15668ddb0 · Nota
• https://osv.dev/vulnerability/GHSA-ww6p-q26w-fr6m · Aviso do Fabricante