CVE-2025-22272

Nome do Software Vulnerável e Versões Afetadas CyberArk Endpoint Privilege Manager na versão SaaS 24.7.1

Descrição O problema envolve injeção de código no parâmetro "modalDlgMsgInternal" via POST no endpoint "/EPMUI/ModalDlgHandler.ashx?value=showReadonlyDlg", que é então executado no navegador. O risco de exploração é parcialmente mitigado pela necessidade de contornar a Content-Security-Policy.

Recomendações Para a versão 24.7.1, considere restringir o acesso ao endpoint "/EPMUI/ModalDlgHandler.ashx?value=showReadonlyDlg" para minimizar o risco de exploração. Como solução temporária, evite utilizar o parâmetro modalDlgMsgInternal neste endpoint até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.