CVE-2020-29550

URVE Build 24.03.2020

Foi detectada uma falha em que a senha de uma conta de usuário de integração, utilizada para a conexão com o Serviço de Integração do MS Office 365, é armazenada em texto simples nos arquivos de configuração e também no banco de dados. A senha está contida em arquivos como Profiles/urve/files/sql db.backup, Server/data/pg wal/000000010000000A000000DD, Server/data/base/16384/18617 e Server/data/base/17202/8708746. Isso faz com que a senha seja exibida em texto simples no código HTML como roomsreservationimport password no endpoint “/urve/roomsreservationimport/roomsreservationimport/update-HTML5”.

Como solução temporária, considere restringir o acesso aos arquivos e ao banco de dados vulneráveis para minimizar o risco de exploração. Evite usar a variável roomsreservationimport password no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.