PT-2024-28040 · Unknown+1 · Syncope Console+2
CVE-2024-38503
·
Publicado
2024-07-22
·
Atualizado
2024-12-06
CVSS v4.0
7.1
Alta
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do Syncope anteriores à 3.0.8
Descrição
A falha permite que tags HTML sejam adicionadas a qualquer campo de texto ao editar um usuário, grupo ou objeto no Syncope Console, o que pode levar a explorações. A mesma vulnerabilidade é encontrada no Syncope Enduser ao editar “Informações pessoais” ou “Solicitações do usuário”.
Recomendações
Para versões anteriores à 3.0.8, atualize para a versão 3.0.8 para corrigir o problema. Como solução temporária, considere restringir a capacidade de adicionar tags HTML aos campos de texto no Syncope Console e no Syncope Enduser até que a atualização seja aplicada.
Exploit
Correção
XSS
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Syncope
Syncope Console
Syncope Enduser