CVE-2021-40604

Versões do IPS Community Suite anteriores à 4.6.2

Uma vulnerabilidade do tipo Server-Side Request Forgery (SSRF) permite que usuários remotos autenticados solicitem URLs arbitrárias ou acionem a desserialização via protocolo phar ao gerar nomes de classes dinamicamente. Em alguns casos, a exploração é possível por um usuário não autenticado. O parâmetro gkey é um token de desativação e está envolvido na vulnerabilidade.

Para versões do IPS Community Suite anteriores à 4.6.2, atualize para a versão 4.6.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao protocolo phar e aos nomes de classes gerados dinamicamente para minimizar o risco de exploração. Evite usar o parâmetro gkey em operações confidenciais até que o problema seja resolvido.