PT-2020-15974
CVE-2020-25138
·
Publicado
2020-09-25
·
Atualizado
2020-09-30
Descrição por
CVSS 3.1
6.1
MédiaMétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Observium Professional, Enterprise e Community, versão 20.8.10631
Descrição
Foi descoberta uma vulnerabilidade que permite Cross-Site Scripting (XSS) devido à capacidade de injetar e armazenar código JavaScript malicioso. Isso pode ocorrer através do endpoint “/alert check/action=delete alert checker/alert test id=” devido ao arquivo pages/alert check.inc.php.
Recomendações
Para o Observium Professional, Enterprise e Community versão 20.8.10631, como solução temporária, considere restringir o acesso ao endpoint /alert check/action=delete alert checker/alert test id= até que um patch esteja disponível. Evite usar este endpoint com entradas não confiáveis para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾