PT-2024-39389 · Ruoyi · Ruoyi
CVSS v4.0
6.3
Média
| Vetor | AV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do RuoYi até a 4.7.9
Descrição
Foi identificada uma vulnerabilidade na função
SysUserServiceImpl do componente Backend User Import. A manipulação do argumento loginName leva a um ataque de cross-site scripting. O ataque pode ser executado remotamente. A complexidade do ataque é bastante alta, e a exploração parece ser difícil.Recomendações
Para as versões do RuoYi até 4.7.9, aplique um patch para corrigir este problema, especificamente o patch denominado
9b68013b2af87b9c809c4637299abd929bc73510. Como solução alternativa temporária, considere validar a entrada do usuário para o argumento loginName a fim de minimizar o risco de exploração. Restrinja o acesso à função SysUserServiceImpl até que o patch seja aplicado.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Ruoyi