dievus/cve-2022-27665XSS reflejado mediante expresiones de escape de Sandbox en AngularJS en IPSwitch WS_FTP Server 8.6.0
Existe una vulnerabilidad de XSS Reflejado mediante expresiones de escape del sandbox de AngularJS en Progress/IPSwitch WS_FTP Server 8.6.0 que puede provocar la ejecución de código y comandos maliciosos en el cliente debido a un manejo inadecuado de la entrada proporcionada por el usuario. Al ingresar payloads maliciosos en la barra de búsqueda de subdirectorios o en los campos de nombre de carpeta de Agregar carpeta, es posible ejecutar comandos del lado del cliente.
Esta vulnerabilidad también se conoce como Inyección de Plantillas del Lado del Cliente y es similar a las Inyecciones de Plantillas del Lado del Servidor.
Cronología de la vulnerabilidad
| Fecha | Acción |
|---|---|
| 22/03/2022 | Vulnerabilidad descubierta |
| 22/03/2022 | Vulnerabilidad divulgada al proveedor |
| 22/03/2022 | ID de CVE solicitado vía MITRE |
| 22/03/2022 | Proveedor solicitó reenvío vía HackerOne |
| 23/03/2022 | MITRE reservó el ID de CVE |
| 23/03/2022 | HackerOne aceptó el reporte |
| 30/03/2022 | Vulnerabilidad reconocida por el proveedor y puesta en triaje por H1 |
| 03/04/2023 | Vulnerabilidad divulgada y CVE hecho público |
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-27665
