CVE-2021-43960

Lorensbergs Connect2 versão 3.13.7647.20190

O problema diz respeito a uma vulnerabilidade XSS que requer privilégios de administrador para ser explorada. Ela é executada por meio do editor Wizard do aplicativo, onde um administrador deve inserir uma carga XSS em campos específicos, como Título da página, Instruções da página, Texto antes, Texto depois ou Texto na caixa lateral, e, em seguida, salvar as alterações. O XSS é acionado quando qualquer usuário realiza uma reserva de itens de aluguel na área de reservas do aplicativo. Observe-se que o produto não consegue defender efetivamente os usuários contra um administrador mal-intencionado, que pode usar JavaScript para personalizar a renderização da página.

Para o Lorensbergs Connect2 versão 3.13.7647.20190, como solução alternativa temporária, considere restringir o acesso ao editor Wizard para minimizar o risco de exploração. Além disso, evite usar os campos Título da página, Instruções da página, Texto antes, Texto depois ou Texto na caixa lateral no editor Wizard até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.