CVE-2022-45176

LIVEBOX Collaboration vDesk, versões até a v018

Uma falha na aplicação web permite que ocorra Stored Cross-site Scripting (XSS) no endpoint “/api/v1/getbodyfile” por meio do parâmetro uri. A aplicação não verifica adequadamente os parâmetros enviados nas solicitações HTTP antes de salvá-los no servidor. Conteúdo JavaScript malicioso pode, então, ser refletido de volta para o usuário final e executado pelo navegador web.

Para versões até a v018, como solução temporária, considere restringir o acesso ao endpoint “/api/v1/getbodyfile” para minimizar o risco de exploração. Evite usar o parâmetro uri neste endpoint até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.