CVE-2022-42974

Kostal PIKO 1.5-1 MP plus HMI OEM p versão 1.0.1

A aplicação web do painel solar está vulnerável a um ataque de Cross-Site Scripting (XSS) armazenado no endpoint da API “/file.bootloader.upload.html”. O aplicativo não sanitiza o parâmetro filename em uma solicitação POST para “/file.bootloader.upload.html” para uma atualização do sistema, permitindo assim que alguém injete HTML e/ou JavaScript na página, que será então processada e armazenada pelo aplicativo. Quaisquer solicitações subsequentes a páginas que recuperem o conteúdo malicioso explorarão automaticamente a vulnerabilidade no navegador da vítima. Isso também ocorre porque a tag é carregada na função innerHTML no HTML da página.

Como solução temporária, considere desativar a função innerHTML no HTML da página até que um patch esteja disponível.

Restrinja o acesso ao endpoint da API “/file.bootloader.upload.html” para minimizar o risco de exploração.

Evite usar o parâmetro filename no endpoint da API afetado até que a vulnerabilidade seja resolvida.