PT-2022-11516
CVE-2021-41952
·
Publicado
2022-03-14
·
Atualizado
2022-03-21
Descrição por
CVSS 3.1
4.8
MédiaMétricasAV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Zenario CMS versão 9.0.54156
Descrição
A vulnerabilidade permite ataques de Cross Site Scripting (XSS) por meio do upload de arquivos maliciosos com extensão *.SVG. Um invasor pode explorar essa vulnerabilidade enviando esses arquivos maliciosos às vítimas, podendo roubar seus cookies e levar à apropriação de contas. A pessoa que visualiza a imagem de um contato pode ser vítima de XSS.
Recomendações
Para o Zenario CMS versão 9.0.54156, considere desativar o upload de arquivos *.SVG até que uma correção esteja disponível para impedir a exploração dessa vulnerabilidade. Restrinja o acesso ao recurso de visualização de imagens para contatos a fim de minimizar o risco de exploração. Evite usar o recurso que permite o upload de arquivos, especialmente arquivos *.SVG, no endpoint da API afetado até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾