PT-2025-12209 · Netease Youdao · Qanything

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-8027

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas netease-youdao/QAnything versões anteriores à versão corrigida

Descrição Existe uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado, permitindo que invasores façam upload de arquivos de conhecimento maliciosos na base de conhecimento. Esses arquivos podem desencadear ataques XSS durante chats de usuários.

Recomendações Para versões anteriores à versão corrigida, atualize para a versão corrigida para resolver o problema. Como solução alternativa temporária, considere restringir o upload de arquivos de conhecimento a fontes confiáveis até que a correção seja aplicada. Evite utilizar a funcionalidade vulnerável da base de conhecimento até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-8027

Produtos afetados

Qanything

Referências · 4

• 🔥 https://huntr.com/bounties/cf75f024-3d64-416d-adfe-c4255d7c3f34 · Exploit
• https://osv.dev/vulnerability/CVE-2024-8027 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902671108308132309 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-8027 · Nota de Segurança