Внедрение вредносных команд через фукционал загрузки файлов
Описание:
Функция загрузки файлов в qdPM 9.1 не проверяет содержимое информации о вложении, что позволяет удаленным аутентифицированным нарушителям внедрять java-скрипт или произвольный HTML-код. Уязвимый функционал доступен в модулях создания заявки, проекта или задачи.
Как исправить
Компенсирующая мера
На текущий момент нет официальных решений от вендора
Использовать WAF, настройка политики CSP
CVSSv3.1
Рейтинг: 5.4/10
Дополнительная информация ниже по ссылкам:
