PT-2024-16160

CVE-2024-10288

·

Publicado

2024-10-23

·

Atualizado

2024-10-24

Descrição por

CVSS 3.1
6.1
Média
MétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
LocalServer versão 1.0.9
Descrição
Uma vulnerabilidade de Cross-Site Scripting (XSS) permite que um usuário remoto envie uma consulta especialmente criada a um usuário autenticado, podendo roubar os detalhes da sessão deste. Isso ocorre por meio do endpoint da API “/mlss/SubscribeToList”, sendo que o parâmetro ListName está vulnerável.
Recomendações
Para o LocalServer versão 1.0.9, como solução temporária, considere restringir o acesso ao endpoint da API “/mlss/SubscribeToList” ou evitar o uso do parâmetro ListName até que uma correção esteja disponível.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')
Identificadores relacionados
CVE-2024-10288
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com