来源

关联漏洞

描述

Sistema NetAdmin IAM 4 é vulnerável a Cross Site Scripting (XSS), no endpoint /BalloonSave.ashx

介绍

# CVE-2024-51026 - Vulnerabilidade de Cross Site Scripting (XSS) no NetAdmin IAM

## Descrição
O sistema **NetAdmin IAM** (versão 4.0.30319) apresenta uma vulnerabilidade de Cross Site Scripting (XSS) no endpoint `/BalloonSave.ashx`, onde é possível injetar um payload malicioso no campo `Content=`. Qualquer usuário autenticado pode explorar essa vulnerabilidade, 
inserindo um script no campo "Content" de uma requisição dentro do endpoint descrito. Esse script será executado sempre que a página vulnerável for atualizada.

### Detalhes da Vulnerabilidade

- **Tipo**: Cross Site Scripting (XSS)
- **Versão Afetada**: 4.0.30319

## Pontuação CVSS e Vetores de Ataque
- **Pontuação Base (CVSS)**: 7.3
- **Vetores de Ataque**: [CVSS Calculator](https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N/E:P/RC:C/CR:H/IR:L/AR:L)

| Vetor CVSS  | Descrição |
|-------------|-----------|
| **AV**      | N (Network) |
| **AC**      | L (Low) |
| **PR**      | L (Low) |
| **UI**      | R (Required) |
| **S**       | U (Unchanged) |
| **C**       | H (High) |
| **I**       | H (High) |
| **A**       | N (None) |

## Endpoint Vulnerável
- **URL**: `https://netadmin.mysystem/BalloonSave.ashx`
- **Parâmetro Afetado**: `Content=`

## Solução

### Status da Correção
- **Em Homologação**: A correção para essa vulnerabilidade está atualmente em fase de homologação.

### Recomendações de Mitigação
Até que a correção oficial seja disponibilizada pelo fornecedor, recomenda-se:
1. Solicitar a atualização da versão ao fornecedor do sistema.
2. Implementar medidas adicionais de segurança, como restrições no input de dados de usuários, para mitigar o risco de injeção XSS.


### Referências para Mitigação
- [CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')](https://cwe.mitre.org/data/definitions/79.html)
- [CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)](https://cwe.mitre.org/data/definitions/80.html)
- [CWE-116: Improper Encoding or Escaping of Output](https://cwe.mitre.org/data/definitions/116.html)
- [CWE-159: Improper Handling of Insufficient Privileges](https://cwe.mitre.org/data/definitions/159.html)

---

Para mais detalhes sobre essa vulnerabilidade ou auxílio técnico na implementação das medidas de mitigação, entre em contato com o suporte de segurança do fornecedor.

文件快照

 [4.0K]  /data/pocs/998d1b1c05ac3b0773f4e2d85a46c65f09bb91b4
└── [2.4K]  README.md

0 directories, 1 file

备注