Vulnerabilidade Stored XSS

A exploração bem-sucedida desta vulnerabilidade permite que um atacante execute scripts JavaScript arbitrários no navegador de um usuário que acessa o relatório comprometido. Isso pode levar ao roubo de cookies de sessão, redirecionamento para sites maliciosos, ou até mesmo à execução de ações em nome do usuário afetado. O impacto pode ser significativo, especialmente em ambientes onde o Exchange Reporter Plus é usado para gerar relatórios confidenciais ou para monitorar o acesso a dados sensíveis. A natureza armazenada da vulnerabilidade significa que o ataque pode persistir, afetando múltiplos usuários que visualizam o relatório comprometido.

Organizations utilizing ManageEngine Exchange Reporter Plus for email reporting and analysis are at risk, particularly those relying on the Permissions based on Distribution Groups report. Shared hosting environments where multiple users share the same Exchange Reporter Plus instance are especially vulnerable, as an attacker could potentially compromise the entire environment through a single user's session.

• manageengine / web:

curl -s -X POST "<exchange_reporter_plus_url>/report/permissions_based_on_distribution_groups?param=<xss_payload>" | grep -i "<xss_payload>"

• generic web:

curl -s -X POST "<exchange_reporter_plus_url>/report/permissions_based_on_distribution_groups?param=<xss_payload>" | grep -i "<xss_payload>"

1. 2026-04-03Disclosure

   disclosure

1. Reservado2026-03-13
2. Publicada2026-04-03
3. Modificada2026-04-04
4. EPSS atualizado2026-04-10

A mitigação primária é atualizar o ManageEngine Exchange Reporter Plus para a versão 5802 ou superior, que inclui a correção para esta vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de proteção adicionais, como restringir o acesso aos relatórios de permissões baseados em grupos de distribuição apenas a usuários autorizados. Monitore os logs do Exchange Reporter Plus em busca de atividades suspeitas, como tentativas de injeção de código. Após a atualização, confirme a correção verificando se os relatórios de permissões não permitem mais a injeção de scripts.