CVE-2019-20150

TreasuryXpress versão 19191105

A vulnerabilidade permite que um usuário conectado descubra credenciais salvas, que estão ocultas pela interface do usuário. Um invasor pode explorar essa vulnerabilidade usando o editor do aplicativo para alterar o endereço IP do host SFTP esperado para um host malicioso e, em seguida, utilizando a opção “Verificar conectividade”. Isso força o aplicativo a enviar as credenciais SSH/SFTP salvas para o host malicioso.

Para a versão 19191105 do TreasuryXpress, como solução temporária, considere restringir o acesso à funcionalidade do editor que permite alterar o IP do host SFTP e evite usar a opção Verificar conectividade com hosts não confiáveis até que um patch esteja disponível.