CVE-2021-35489

**Nome do software vulnerável e versões afetadas:

Thruk versões 2.40-2

Descrição:

A vulnerabilidade permite um ataque XSS refletido por meio do parâmetro host ou service no endpoint da API /thruk/#cgi-bin/extinfo.cgi. Um invasor poderia injetar código JavaScript arbitrário no extinfo.cgi, e a carga maliciosa seria acionada sempre que um usuário autenticado navegasse na página que o contém.

Recomendações:

Para as versões 2.40-2 do Thruk, considere desativar o acesso ao endpoint da API /thruk/#cgi-bin/extinfo.cgi até que uma correção esteja disponível. Restrinja o uso dos parâmetros host e service para minimizar o risco de exploração.