PT-2020-9704 · Zoho · Zoho Manageengine Desktop Central
CVE-2019-15510
·
Publicado
2020-03-23
·
Atualizado
2023-02-03
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Zoho ManageEngine Desktop Central versão 10
Descrição
A vulnerabilidade permite a injeção de HTML na página de administração de usuários por meio da descrição de uma função. Isso é possível explorando a variável
description no processo de criação da função. O endpoint exato da API não foi especificado, mas envolve a página de administração de usuários.Recomendações
Para o Zoho ManageEngine Desktop Central versão 10, considere restringir o acesso à página de administração de usuários até que uma correção esteja disponível. Como solução alternativa temporária, evite usar o campo de descrição para funções a fim de minimizar o risco de injeção de HTML. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Zoho Manageengine Desktop Central