CVE-2020-9758

[Descrição] Um problema foi encontrado em chat.php no LiveZilla Live Chat 8.0.1.3 (Helpdesk). Uma injeção de JavaScript cega reside no parâmetro name. Disparar isso pode obter os nomes de usuário e senhas dos funcionários do helpdesk na URI. Isso leva a uma escalada de privilégios, de não autenticado para acesso em nível de usuário, resultando em comprometimento total da conta. O ataque obtém múltiplas credenciais porque elas estão armazenadas no banco de dados (XSS armazenado). Isso afeta a URI mobile/chat por meio dos parâmetros lgn e psswrd.

[Informações Adicionais] O vazamento de credenciais pela URI pode ser resultado do recurso de login automático. Além disso, mais parâmetros no formulário do chat.php podem ser vulneráveis.

[Tipo de Vulnerabilidade] Cross Site Scripting (XSS)

[Fornecedor do Produto] Livezilla

[Base do Código do Produto Afetado] Livechat Helpdesk - 8.0.1.3

[Componente Afetado] URL de Entrada : https://livechat.example.com/chat.php Parâmetro Vulnerável : name URL Afetada : https://livechat.example.com/mobile/chat?lgn=base64_encoded(username)&psswrd=base64_encoded(password)

[Tipo de Ataque] Remoto

[Impacto Escala de Privilégios] verdadeiro

[Impacto Divulgação de Informações] verdadeiro

[Vetores de Ataque] XSS Armazenado Cego Não Autenticado

[Referência] https://www.livezilla.net

[Descobridor] Arihant Singh

CVE-2020-9758

Mais Populares