Ehuon

O problema está relacionado ao fato de o LedgerSMB não verificar a origem dos fragmentos HTML incorporados ao DOM do navegador. Isso pode ser explorado através do envio de uma URL especialmente criada a um usuário autenticado, podendo levar à execução remota de código e à divulgação de informações.

O problema decorre de uma codificação HTML insuficiente das mensagens de erro enviadas ao navegador. Isso pode ser explorado através do envio de uma URL especialmente criada para um usuário autenticado, podendo levar à execução remota de código e à divulgação de informações.

A vulnerabilidade permite que um invasor induza um usuário alvo a executar ações indesejadas por meio de “clickjacking”, uma vez que o LedgerSMB não oferece proteção suficiente contra a incorporação em outros sites.