PT-2021-22251
CVE-2021-38619
·
Publicado
2021-08-13
·
Atualizado
2021-08-23
Descrição por
CVSS 3.1
6.1
MédiaMétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
openBaraza HCM versão 3.1.6
Descrição
A vulnerabilidade decorre da falha em neutralizar adequadamente entradas controladas pelo usuário, permitindo que um invasor remoto não autenticado realize um ataque de cross-site scripting (XSS) armazenado contra um usuário administrativo. Esse ataque pode ser lançado a partir de vários endpoints, incluindo “hr/subscription.jsp”, “hr/application.jsp” e “hr/index.jsp” (com view=).
Recomendações
Para o openBaraza HCM versão 3.1.6, considere desativar o acesso aos endpoints afetados “hr/subscription.jsp”, “hr/application.jsp” e “hr/index.jsp” (com view=) até que um patch esteja disponível para prevenir ataques de cross-site scripting (XSS) armazenado. Restrinja a entrada nesses endpoints para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾