PT-2024-36827

CVE-2024-56517

Publicado

2024-12-30

Atualizado

2024-12-30

Descrição por

CVSS 4.0

5.3

Média

MétricasAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Nome do software vulnerável e versões afetadas

LGSL (Live Game Server List) versões até a 6.2.1, inclusive

Descrição

O problema está relacionado a uma vulnerabilidade de cross-site scripting refletido no cabeçalho HTTP Referer. Essa vulnerabilidade permite que invasores injetem código JavaScript arbitrário, que é refletido na resposta HTML sem a devida sanitização. Quando uma entrada maliciosa elaborada é fornecida no cabeçalho Referer, ela é repetida em um atributo HTML na resposta do aplicativo. A vulnerabilidade está presente no endpoint /lgsl files/lgsl list.php, especificamente nas linhas em que a variável $uri é definida com base no cabeçalho HTTP REFERER.

Recomendações

Para versões do LGSL (Live Game Server List) até e incluindo a 6.2.1, atualize para uma versão que inclua o patch commit 7ecb839df9358d21f64cdbff5b2536af25a77de1 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao endpoint /lgsl files/lgsl list.php para minimizar o risco de exploração.

Evite usar o cabeçalho Referer com entradas não confiáveis até que o problema seja resolvido.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Tcu0N9

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')