PT-2020-9827
CVE-2019-16385
·
Publicado
2020-06-04
·
Atualizado
2021-07-21
Descrição por
CVSS 3.1
6.1
MédiaMétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Cybele Thinfinity VirtualUI versão 2.5.17.2
Descrição
A vulnerabilidade permite a divisão de respostas HTTP por meio do parâmetro
mimetype em uma solicitação do visualizador de PDF. Isso pode ser explorado carregando uma solicitação de aplicativo para visualizar um PDF contendo uma carga maliciosa, resultando na execução de uma carga XSS refletida. Por exemplo, um ataque poderia ser demonstrado usando uma solicitação como a substring ‘example.pdf?mimetype=’.Recomendações
Para o Cybele Thinfinity VirtualUI versão 2.5.17.2, considere restringir o acesso à solicitação do visualizador de PDF ou desativar o parâmetro
mimetype para minimizar o risco de exploração até que um patch esteja disponível. Evite usar o parâmetro mimetype no endpoint da API afetado até que a vulnerabilidade seja resolvida.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾