CVE-2022-45179

Versões do LIVEBOX Collaboration vDesk até a v031

Existe uma vulnerabilidade XSS básica no endpoint “/api/v1/vdeskintegration/todo/createorupdate” por meio do parâmetro title e em “/dashboard/reminders”. Um usuário remoto, autenticado no produto, pode armazenar código HTML arbitrário no título da seção de lembretes para corromper a página da web, criando potencialmente seções de phishing para extrair as credenciais das vítimas.

Para versões até a v031, como solução temporária, considere restringir o acesso ao endpoint “/api/v1/vdeskintegration/todo/createorupdate” e à página “/dashboard/reminders” para minimizar o risco de exploração. Evite usar o parâmetro title no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.