CVE-2020-13959

Versões do Apache Velocity Tools anteriores à 3.1

A página de erro padrão do VelocityView no Apache Velocity Tools reflete o arquivo vm que foi inserido como parte da URL. Um invasor pode definir um arquivo de carga XSS como esse arquivo vm na URL, o que resulta na execução dessa carga. Isso permite que invasores executem JavaScript arbitrário no contexto do site atacado e do usuário atacado, levando potencialmente ao roubo de cookies de sessão, à realização de solicitações em nome da vítima ou a ataques de phishing.

Para versões anteriores à 3.1, atualize para a versão 3.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à página de erro padrão do VelocityView para minimizar o risco de exploração. Evite usar arquivos vm inseridos pelo usuário na URL até que o problema seja resolvido.