CVE-2024-23892

Cups Easy (Compras e Estoque) versão 1.0

Foi relatada uma vulnerabilidade de Cross-Site Scripting (XSS), na qual entradas controladas pelo usuário não são codificadas de forma adequada. Isso ocorre por meio do endpoint /cupseasylive/costcentercreate.php, especificamente no parâmetro costcenterid. A exploração dessa vulnerabilidade poderia permitir que um invasor remoto enviasse uma URL especialmente criada para um usuário autenticado, potencialmente roubando suas credenciais de cookie de sessão.

Para a versão 1.0, como solução temporária, considere restringir o acesso ao endpoint /cupseasylive/costcentercreate.php até que uma correção esteja disponível. Além disso, evite usar o parâmetro costcenterid neste endpoint até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.