CVE-2024-9101

phpLDAPadmin, versões 1.2.1 a 1.2.6.7

Uma vulnerabilidade de cross-site scripting (XSS) refletido no ‘Entry Chooser’ do phpLDAPadmin permite que invasores executem código JavaScript arbitrário no navegador do usuário por meio do parâmetro element, que é passado de forma insegura para a função JavaScript eval. No entanto, a exploração é limitada a condições específicas em que opener está definido corretamente.

Para as versões 1.2.1 a 1.2.6.7 do phpLDAPadmin, como solução temporária, considere restringir o uso do recurso ‘Entry Chooser’ até que um patch esteja disponível. Evite usar o parâmetro element no componente afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.