CVE-2024-29877

Sentrifugo versão 3.2

Existe uma vulnerabilidade de Cross-Site Scripting (XSS) que permite que um usuário remoto envie uma URL especialmente criada para a vítima e roube seus dados de sessão. Isso é feito por meio do endpoint da API /sentrifugo/index.php/expenses/expensecategories/edit, especificamente através da manipulação do parâmetro expense category name.

Para a versão 3.2 do Sentrifugo, como solução temporária, considere desativar o acesso ao endpoint da API /sentrifugo/index.php/expenses/expensecategories/edit até que um patch esteja disponível. Além disso, restrinja o uso do parâmetro expense category name neste endpoint para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.