PT-2020-9833
CVE-2019-16517
·
Publicado
2020-01-23
·
Atualizado
2020-01-28
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
ConnectWise Control, versão 19.3.25270.7185
Descrição
Um problema de configuração incorreta do CORS permite que o JavaScript em execução em qualquer domínio interaja com as APIs do servidor, possibilitando ações administrativas sem o conhecimento da vítima. Isso ocorre porque o servidor reflete a Origem fornecida pelas solicitações recebidas.
Recomendações
Para a versão 19.3.25270.7185 do ConnectWise Control, considere restringir o acesso às APIs do servidor para impedir ações administrativas não autorizadas até que uma correção esteja disponível. Como solução alternativa temporária, revise e ajuste a configuração do CORS para validar e tratar adequadamente as solicitações recebidas.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾