PT-2022-20940 · Nortek Linear · Nortek Linear Emerge E3-Series
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Nortek Linear eMerge Série E3, versão 0.32-07p
Descrição
A vulnerabilidade permite que um invasor assuma o controle de uma conta de administrador ou de usuário por meio de uma combinação de XSS e fixação de sessão via
PHPSESSID quando os dispositivos estão conectados em cadeia. Isso é explorado através do endpoint “/card scan.php?CardFormatNo=”, permitindo a fixação de sessão.Recomendações
Para a série Nortek Linear eMerge E3 versão 0.32-07p, considere desativar o acesso ao endpoint “/card scan.php?CardFormatNo=” até que uma correção esteja disponível para prevenir ataques XSS e de fixação de sessão. Além disso, restrinja o uso do
PHPSESSID para minimizar o risco de fixação de sessão.Correção
Session Fixation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Nortek Linear Emerge E3-Series