CVE-2022-26088

Versões do BMC Remedy anteriores à 22.1

Foi descoberta uma falha no BMC Remedy em que o recurso de encaminhamento de incidentes por e-mail permite que usuários remotos autenticados insiram HTML, como uma carga útil SSRF, no Log de Atividades, colocando-o no campo Para:. Isso afeta a renderização que ocorre ao clicar no campo “número de destinatários”. A posição do fornecedor é que não há demonstração de impacto real.

Para versões anteriores à 22.1, atualize para a versão 22.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao recurso de encaminhamento de incidentes por e-mail até que um patch esteja disponível. Evite usar o campo Para: no Log de Atividades para minimizar o risco de exploração.