PT-2021-23136
CVE-2021-41156
·
Publicado
2021-10-18
·
Atualizado
2021-10-22
Descrição por
CVSS 3.1
6.8
MédiaMétricasAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões do anuko/timetracker anteriores à 1.19.30.5601
Descrição
A vulnerabilidade diz respeito ao anuko/timetracker, um sistema de controle de tempo de código aberto. Nas versões afetadas, o sistema utiliza um controle oculto
browser today para coletar a data atual dos navegadores dos usuários. Devido à falta de verificações de validade nesse parâmetro nas versões anteriores à 1.19.30.5601, é possível criar um formulário HTML com JavaScript malicioso. Um invasor poderia usar engenharia social para convencer usuários conectados a executar uma solicitação POST a partir desse formulário, resultando na execução do JavaScript fornecido pelo invasor no navegador do usuário.Recomendações
Para versões anteriores à 1.19.30.5601, atualize para a versão 1.19.30.5601 ou posterior.
Se a atualização não for viável, introduza a função
ttValidDbDateFormatDate, conforme na versão mais recente, e adicione uma chamada a ela dentro do bloco de verificações de acesso.Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾