PT-2020-16323

CVE-2020-26166

·

Publicado

2020-10-05

·

Atualizado

2020-10-13

Descrição por

CVSS 3.1
5.4
Média
MétricasAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
qdPM versão 9.1
Descrição
A funcionalidade de envio de arquivos no qdPM não verifica a descrição do arquivo, permitindo que invasores remotos autenticados injetem scripts da Web ou HTML por meio do parâmetro attachments info. Esse problema pode ocorrer durante a criação de um ticket, projeto ou tarefa.
Recomendações
Para o qdPM versão 9.1, considere desativar a funcionalidade de upload de arquivos até que uma correção esteja disponível para evitar a exploração. Restrinja o acesso ao recurso de upload de arquivos para minimizar o risco de ataques de injeção. Evite usar o parâmetro attachments info na funcionalidade afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')
Identificadores relacionados
CVE-2020-26166
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com