Summarize this content to 600 words
ID CVE
CVE-2024-7874
Fecha de publicación
06 diciembre 2024
Proveedor
Automatización de tungsteno
Producto
Agilidad total
Versiones vulnerables
Todo hasta 7.9.0.25.0.954
Tipo de vulnerabilidad (CWE)
Neutralización inadecuada de la entrada durante la generación de la página web (XSS o ‘Cross-site Scripting’) (CWE-79)
Fuente del informe
Informe al CERT Polonia
ID CVE
CVE-2024-7875
Fecha de publicación
06 diciembre 2024
Proveedor
Automatización de tungsteno
Producto
Agilidad total
Versiones vulnerables
Todo hasta 7.9.0.25.0.954
Tipo de vulnerabilidad (CWE)
Neutralización inadecuada de la entrada durante la generación de la página web (XSS o ‘Cross-site Scripting’) (CWE-79)
Fuente del informe
Informe al CERT Polonia
Descripción
CERT Polska recibió un informe sobre vulnerabilidades en el software TotalAgility de Tungsten Automation (anteriormente Kofax) y participó en la coordinación de su divulgación.
El software TotalAgility en versiones hasta 7.9.0.25.0.954 es vulnerable a ataques XSS reflejados (CVE-2024-7874 y CVE-2024-7875) a través de dos manipulaciones de parámetros diferentes: mfpConnectionId en un formulario enviado a los puntos finales /TotalAgility/Kofax/BrowserDevice/ScanFront.aspxy /TotalAgility/Kofax/BrowserDevice/ScanFrontDebug.aspx así como mfpPantallaResoluciónAncho en un formulario enviado a un punto final /TotalAgility/Kofax/BrowserDevice/ScanFront.aspx.
Estas vulnerabilidades permiten que un usuario no autenticado inyecte un código JavaScript malicioso, lo que provoca una posible fuga de información. La explotación solo es posible cuando se utilizan solicitudes POST y también requiere recuperar/generar un parámetro VIEWSTATE adecuado, lo que limita el riesgo de un ataque exitoso.
No pudimos comunicarnos con el fabricante del software para confirmar el alcance de las versiones afectadas, por lo que las más nuevas también podrían ser vulnerables.
Créditos
Agradecemos a Amin ACHOUR y Abderrahmane Bounhidja por el informe de vulnerabilidad responsable.
Puede encontrar más información sobre el proceso coordinado de divulgación de vulnerabilidades en CERT Polska en https://cert.pl/es/cvd/.