CVE-2022-45169

LIVEBOX Collaboration vDesk, versões até a v031

Foi descoberta uma falha que permite o redirecionamento de URL para um site não confiável (Open Redirect) no endpoint “/api/v1/notification/createnotification”. Isso permite que um usuário autenticado envie uma notificação push arbitrária a qualquer outro usuário do sistema, que pode incluir um link clicável invisível.

Para versões até a v031, como solução temporária, considere restringir o acesso ao endpoint “/api/v1/notification/createnotification” até que uma correção esteja disponível. Além disso, limitar a capacidade de enviar notificações push apenas a usuários confiáveis pode ajudar a minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.