PT-2022-19179

CVE-2022-28703

Publicado

2022-12-15

Atualizado

2022-12-19

Descrição por

CVSS 3.1

9.1

Crítica

MétricasAV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Lansweeper versão 10.1.1.0

Descrição

Existe uma vulnerabilidade de cross-site scripting armazenado na funcionalidade altertextlanguages da página HdConfigActions.aspx. Isso permite que um invasor injete código JavaScript arbitrário por meio de uma solicitação HTTP especialmente criada. A vulnerabilidade pode ser acionada pelo envio de uma solicitação HTTP maliciosa.

Recomendações

Para a versão 10.1.1.0 do Lansweeper, como solução temporária, considere restringir o acesso à página HdConfigActions.aspx até que um patch esteja disponível. Evite usar a funcionalidade altertextlanguages nesse ínterim para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Icewall

Marcin Noga

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados