PT-2024-25610
CVE-2024-33978
·
Publicado
2024-08-06
·
Atualizado
2024-08-15
Descrição por
CVSS 3.1
7.1
AltaMétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L
Nome do software vulnerável e versões afetadas
E-Negosyo System versão 1.0
Descrição
O problema está relacionado a uma vulnerabilidade de Cross-Site Scripting (XSS). Um invasor poderia criar uma URL especialmente criada e enviá-la a uma vítima para obter os detalhes do cookie de sessão dela por meio do parâmetro
category no endpoint da API “/index.php”.Recomendações
Para o E-Negosyo System versão 1.0, como solução temporária, considere restringir o acesso ao endpoint “/index.php” ou desativar o uso do parâmetro
category até que uma correção esteja disponível. Evite usar o parâmetro category no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾