CVE-2021-28247

**Nome do software vulnerável e versões afetadas:

CA eHealth Performance Manager versões 6.3.2.12 e anteriores

Descrição:

A vulnerabilidade permite que um usuário remoto autenticado injete scripts da Web ou HTML arbitrários devido à sanitização incorreta dos dados fornecidos pelo usuário, realizando um ataque de Cross-Site Scripting refletido contra os usuários da plataforma. Os endpoints afetados são: “cgi/nhWeb” com o parâmetro report, “aviewbin/filtermibobjects.pl” com o parâmetro namefilter e “aviewbin/query.pl” com os parâmetros System, SystemText, Group e GroupText. Esta vulnerabilidade afeta apenas produtos que não são mais suportados pelo mantenedor.

Recomendações:

Para as versões 6.3.2.12 e anteriores do CA eHealth Performance Manager, considere desativar o acesso aos endpoints afetados “cgi/nhWeb”, “aviewbin/filtermibobjects.pl” e “aviewbin/query.pl” como uma solução temporária para minimizar o risco de exploração. Restrinja o uso dos parâmetros report, namefilter, System, SystemText, Group e GroupText nesses endpoints até que uma solução esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.