Plataforma
php
Componente
facturascripts
Corregido en
2022.07
La vulnerabilidad CVE-2022-1571 es una falla de Cross-Site Scripting (XSS) reflejado detectada en facturascripts, una aplicación PHP, específicamente en la función 'Crear Subcuenta'. Esta vulnerabilidad permite a un atacante inyectar código JavaScript malicioso que se ejecuta en el navegador de la víctima, comprometiendo la seguridad de la aplicación y los datos del usuario. Las versiones afectadas son aquellas anteriores a 2022.07. Se recomienda actualizar a la versión 2022.07 para solucionar el problema.
Un atacante puede explotar esta vulnerabilidad para ejecutar código JavaScript arbitrario en el contexto del usuario autenticado. Esto puede llevar al robo de cookies de sesión, permitiendo al atacante hacerse pasar por el usuario y acceder a información confidencial o realizar acciones en su nombre. Además, el atacante puede realizar peticiones HTTP en nombre del usuario, obtener contenido de páginas del mismo origen y potencialmente redirigir al usuario a sitios web maliciosos. La severidad crítica de esta vulnerabilidad se debe a la facilidad de explotación y el alto impacto potencial en la confidencialidad y la integridad de los datos.
La vulnerabilidad fue publicada el 4 de mayo de 2022. No se ha reportado su inclusión en el KEV de CISA ni la confirmación de explotación activa en campañas conocidas. Sin embargo, dada la facilidad de explotación y la naturaleza crítica de la vulnerabilidad, es importante aplicar la mitigación lo antes posible. La existencia de un repositorio público en GitHub facilita la identificación y la posible explotación por parte de atacantes.
Organizations and individuals using facturascripts versions prior to 2022.07 are at risk, particularly those with publicly accessible instances of the application. Shared hosting environments where multiple users share the same facturascripts installation are especially vulnerable, as a compromise of one user's account could potentially lead to the compromise of others.
• php / web:
curl -s -X POST "http://<target>/create_subaccount.php?username=<script>alert(1)</script>" | grep -i alert• generic web:
curl -s -X POST "http://<target>/create_subaccount.php?username=<script>alert(1)</script>" | grep -i alertdisclosure
Estado del Exploit
EPSS
0.32% (55% percentil)
Vector CVSS
La mitigación principal para CVE-2022-1571 es actualizar facturascripts a la versión 2022.07 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento rigurosos de todas las entradas del usuario en el lado del servidor. Además, se puede considerar el uso de un Web Application Firewall (WAF) para filtrar el tráfico malicioso y bloquear intentos de explotación. Después de la actualización, verifique la funcionalidad de 'Crear Subcuenta' para confirmar que la vulnerabilidad ha sido resuelta.
Actualice facturascripts a la versión 2022.07 o posterior. Esta versión corrige la vulnerabilidad de Cross-Site Scripting (XSS) reflejado en la creación de subcuentas.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2022-1571 is a critical XSS vulnerability in facturascripts versions before 2022.07, allowing attackers to inject malicious JavaScript code.
You are affected if you are using facturascripts versions prior to 2022.07. Upgrade immediately to mitigate the risk.
Upgrade facturascripts to version 2022.07 or later. Consider temporary workarounds like input validation and WAF rules if immediate upgrade is not possible.
While no active campaigns are confirmed, the CRITICAL severity and ease of exploitation make it a likely target for attackers.
Refer to the facturascripts GitHub repository (neorazorx/facturascripts) for updates and advisories related to CVE-2022-1571.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.