CVE-2020-26574

Leostream Connection Broker versões 8.2.x

A vulnerabilidade permite que um invasor não autenticado injete código JavaScript arbitrário por meio do cabeçalho HTTP User-Agent no arquivo webquery.pl. Esse código é executado pelos administradores na próxima vez que eles fizerem login e pode ser usado para forçar o administrador a fazer upload de um script Perl malicioso. O script será executado como root por meio da função libMisc::browser client. Esta vulnerabilidade afeta apenas produtos que não são mais suportados pelo mantenedor.

Para o Leostream Connection Broker versão 8.2.x, considere desativar o arquivo webquery.pl ou restringir o acesso a ele até que um patch esteja disponível. Como solução alternativa temporária, restrinja o uso do cabeçalho HTTP User-Agent para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.