CVE-2024-25694

Esri Portal for ArcGIS Enterprise, versões 10.8.1 a 10.9.1

O problema é uma vulnerabilidade de Cross-site Scripting armazenada que pode permitir que um invasor remoto autenticado crie um link malicioso armazenado na configuração do aplicativo Layer Showcase. Quando clicado, esse link poderia executar código JavaScript arbitrário no navegador da vítima. Os privilégios necessários para executar esse ataque são elevados, e ele poderia revelar um token privilegiado, resultando no invasor obtendo controle total do Portal.

Para as versões 10.8.1 a 10.9.1 do Esri Portal for ArcGIS Enterprise, considere desativar a configuração do aplicativo Layer Showcase como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao Layer Showcase para minimizar o risco de exploração. Evite usar links criados de forma maliciosa na configuração do aplicativo Layer Showcase até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.