PT-2025-21210 · Palo Alto Networks · Pan-Os
Xbow
+1
·
Publicado
2025-05-14
·
Atualizado
2026-04-25
·
CVE-2025-0133
CVSS v2.0
6.4
Média
| Vetor | AV:N/AC:L/Au:N/C:P/I:P/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Palo Alto Networks PAN-OS GlobalProtect (versões afetadas não especificadas)
Descrição
Existe uma falha de cross-site scripting (XSS) refletido nas funcionalidades de gateway e portal do GlobalProtect do software Palo Alto Networks PAN-OS. Isso permite a execução de JavaScript malicioso no navegador de um usuário autenticado quando ele clica em um link especialmente elaborado. O risco principal são ataques de phishing que podem levar ao roubo de credenciais, especialmente se a VPN Clientless estiver habilitada. Os atacantes podem criar links de phishing que parecem originar-se do portal GlobalProtect. A vulnerabilidade não impacta a disponibilidade das funcionalidades ou usuários do GlobalProtect, nem permite que atacantes modifiquem as configurações do portal ou gateway. Estima-se que mais de 3 milhões de serviços estejam potencialmente afetados em todo o mundo. A vulnerabilidade pode ser explorada criando links contendo payloads como
%3Csvg%20xmlns%3D%22http%3A%2F%2Fhttps://t.co/l9uRav4jue%2F2000%2Fsvg%22%3E%3Cscript%3Eprompt%28%22XSS%22%29%3C%2Fscript%3E%3C%2Fsvg%3E. A exploração pode levar ao sequestro de sessão e roubo de credenciais. O endpoint getconfig.esp é um alvo potencial para ataques XSS.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Pan-Os