CVE-2021-35488

**Nome do software vulnerável e versões afetadas:

Versões do Thruk 2.40 a 2

Descrição:

A vulnerabilidade permite um ataque XSS refletido por meio dos parâmetros host ou title no endpoint “/thruk/#cgi-bin/status.cgi”. Um invasor poderia injetar código JavaScript arbitrário no status.cgi, que seria executado sempre que um usuário autenticado acessasse a página que o contém.

Recomendações:

Para as versões 2.40 a 2 do Thruk, como solução temporária, considere restringir o acesso ao endpoint “/thruk/#cgi-bin/status.cgi” até que um patch esteja disponível. Evite usar os parâmetros host ou title neste endpoint para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.