PT-2021-23329

CVE-2021-41555

Publicado

2021-10-05

Atualizado

2024-08-04

Descrição por

CVSS 3.1

6.1

Média

MétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

ARCHIBUS Web Central versões 21.3.3.815 e anteriores

Descrição

O problema ocorre no endpoint /archibus/dwr/call/plaincall/workflow.runWorkflowRule.dwr porque os dados recebidos como entrada dos clientes são reincluídos na resposta HTTP retornada pelo aplicativo sem validação adequada. Se código HTML ou código executável do lado do cliente (por exemplo, Javascript) for inserido como entrada, o fluxo de execução esperado poderá ser alterado.

Recomendações

Para as versões 21.3.3.815 e anteriores, atualize para uma versão recente, como a versão 26, para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint /archibus/dwr/call/plaincall/workflow.runWorkflowRule.dwr até que um patch esteja disponível. Evite inserir código HTML ou código executável do lado do cliente como entrada para minimizar o risco de exploração.

Explorabilidade

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')