PT-2025-1978 · Kentico · Kentico Cms

Marcin Wyczechowski + 2 · Publicado 2025-01-02 · Atualizado 2025-01-03 · CVE-2024-12907

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas Kentico CMS versão 7

Descrição O problema consiste em um ataque XSS refletido que ocorre através da manipulação de um parâmetro específico da requisição GET enviado ao endpoint "/CMSMessages/AccessDenied.aspx". O suporte para a versão 7 do Kentico CMS encerrou em 2016. Observa-se que a versão 8 não apresenta este problema.

Recomendações Para a versão 7 do Kentico CMS, como o suporte foi encerrado e esta versão é vulnerável, considere atualizar para uma versão com suporte para mitigar o risco. Como medida temporária, considere restringir o acesso ao endpoint "/CMSMessages/AccessDenied.aspx" até que uma solução mais permanente possa ser aplicada. Evite utilizar o parâmetro de requisição GET vulnerável neste endpoint para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-12907

Produtos afetados

Kentico Cms

Referências · 7

• https://cert.pl/en/posts/2025/01/CVE-2024-12907 · Nota
• https://twitter.com/CVEnew/status/1875033745163423846 · Publicação no Twitter
• https://t.me/cvenotify/106015 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-12907 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1874944400372994522 · Publicação no Twitter
• https://t.me/cvedetector/14181 · Publicação no Telegram
• https://twitter.com/gothburz/status/1874932503867195405 · Publicação no Twitter