PT-2020-13226

CVE-2020-12718

·

Publicado

2020-05-07

·

Atualizado

2020-05-14

Descrição por

CVSS 3.1
5.4
Média
MétricasAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
PHP-Fusion versão 9.03.50
Descrição
O problema diz respeito a uma vulnerabilidade XSS armazenada no recurso “Pré-visualizar comentário” do arquivo administration/comments.php. Um invasor autenticado pode explorar essa vulnerabilidade contornando o mecanismo de proteção por meio de manipuladores de eventos HTML, como ontoggle.
Recomendações
Para a versão 9.03.50 do PHP-Fusion, como solução temporária, considere desativar o recurso “Preview Comment” até que um patch esteja disponível. Restrinja o acesso ao arquivo administration/comments.php para minimizar o risco de exploração. Evite usar manipuladores de eventos HTML no recurso “Preview Comment” até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')
Identificadores relacionados
CVE-2020-12718
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com