CVE-2023-6275 - TOTVS Fluig プラットフォーム 1.6.X ～ 1.8.1 における反射型クロスサイトスクリプティング

TOTVS Fluig プラットフォームのバージョン 1.6.1.X から 1.8.1 において、'mobileredir' モジュール内の 'redirectUrl' パラメータおよび 'user' パラメータにクロスサイトスクリプティングの脆弱性が存在します。

Fluig は、ブラジル最大のテクノロジー企業 TOTVS によって開発され、クライアントのサーバー上でホストされる、ERP システムと統合する生産性・コラボレーションプラットフォームです。

影響を受けるバージョン:

-- Fluig 1.6.X - Fluig 1.8.1 …

攻撃ベクトル

https://fluig.host.com/mobileredir/openApp.jsp?redirectUrl=PAYLOAD

https://fluig.host.com/mobileredir/openApp.jsp?user=PAYLOAD

ペイロード:

https://fluig.host.com/mobileredir/openApp.jsp?redirectUrl="> https://fluig.host.com/mobileredir/openApp.jsp?user=">