PT-2026-81289 · Ech0 · Ech0
CVSS v4.0
4.8
Média
| Vetor | AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Ech0 versões anteriores a 4.4.3
Description
Um problema de cross-site scripting armazenado existe no endpoint de upload de arquivos. A aplicação valida o
Content-Type utilizando apenas cabeçalhos fornecidos pelo cliente, sem realizar a inspeção no lado do servidor. Isso permite que atacantes com privilégios de administrador façam o upload de arquivos SVG ou HTML contendo JavaScript. Quando esses arquivos são acessados por qualquer usuário, o script é executado na origem da aplicação, o que pode levar ao sequestro de sessão e exfiltração de dados.Recommendations
Atualize para a versão 4.4.3 ou posterior.
Exploit
Correção
Unrestricted File Upload
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Ech0