PT-2020-12702
CVE-2020-11586
·
Publicado
2020-04-06
·
Atualizado
2020-04-07
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
CIPPlanner CIPAce versão 9.1 Build 2019092801
Descrição
Uma vulnerabilidade XXE permite que um invasor não autenticado faça uma solicitação de API contendo dados XML DTD maliciosos. Isso pode ser explorado por meio de pontos de extremidade da API, embora o ponto de extremidade específico não seja mencionado. A vulnerabilidade envolve o envio de dados
XML DTD maliciosos, o que pode levar a acesso não autorizado ou outras atividades maliciosas. Não há informações sobre o número estimado de dispositivos potencialmente afetados ou incidentes reais.Recomendações
Para o CIPPlanner CIPAce versão 9.1 Build 2019092801, considere restringir o acesso a pontos de extremidade da API que aceitem dados XML até que um patch esteja disponível. Como solução alternativa temporária, desativar o processamento de dados XML DTD em solicitações de API pode ajudar a mitigar o risco. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾