CVE-2024-51026 - Vulnerabilidade de Cross Site Scripting (XSS) no NetAdmin IAM

Descrição

O sistema NetAdmin IAM (versão 4.0.30319) apresenta uma vulnerabilidade de Cross Site Scripting (XSS) no endpoint /BalloonSave.ashx, onde é possível injetar um payload malicioso no campo Content=. Qualquer usuário autenticado pode explorar essa vulnerabilidade, inserindo um script no campo "Content" de uma requisição dentro do endpoint descrito. Esse script será executado sempre que a página vulnerável for atualizada.

Detalhes da Vulnerabilidade

• Tipo: Cross Site Scripting (XSS)
• Versão Afetada: 4.0.30319

Pontuação CVSS e Vetores de Ataque

• Pontuação Base (CVSS): 7.3
• Vetores de Ataque: CVSS Calculator

Endpoint Vulnerável

• URL: https://netadmin.mysystem/BalloonSave.ashx
• Parâmetro Afetado: Content=

Solução

Status da Correção

• Em Homologação: A correção para essa vulnerabilidade está atualmente em fase de homologação.

Recomendações de Mitigação

Até que a correção oficial seja disponibilizada pelo fornecedor, recomenda-se:

1. Solicitar a atualização da versão ao fornecedor do sistema.
2. Implementar medidas adicionais de segurança, como restrições no input de dados de usuários, para mitigar o risco de injeção XSS.

Referências para Mitigação

• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
• CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)
• CWE-116: Improper Encoding or Escaping of Output
• CWE-159: Improper Handling of Insufficient Privileges

---

Para mais detalhes sobre essa vulnerabilidade ou auxílio técnico na implementação das medidas de mitigação, entre em contato com o suporte de segurança do fornecedor.