CVE-2019-25022

Scytl sVote versão 2.1

Foi descoberta uma vulnerabilidade no Scytl sVote que permite que um invasor injete código a ser executado ao criar um evento eleitoral e injetar uma carga útil por meio de um alias de evento. Isso é possível porque o aplicativo chama Runtime.getRuntime().exec() sem validação, permitindo a injeção de código.

Para o Scytl sVote versão 2.1, considere desativar a funcionalidade que permite a criação de eventos eleitorais e a injeção de cargas úteis por meio de aliases de eventos até que um patch esteja disponível. Restrinja o acesso à função Runtime.getRuntime().exec() para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.