CVE-2022-21939
Sensitive cookie without 'HttpOnly' flag in System Configuration Tool (SCT)
Em resumo
A ferramenta System Configuration Tool armazena cookies sensíveis sem a proteção HttpOnly, permitindo que atacantes os roubem através de ataques com JavaScript. Isso coloca sessões de usuários em risco de acesso não autorizado.
Detalhe técnico
Vulnerabilidade CWE-1004 nas versões 14.x <14.2.3 e 15.x <15.0.3 do SCT da Johnson Controls expõe cookies de sessão sensíveis sem proteção HttpOnly, permitindo que injeção de scripts no lado do cliente (XSS) exfiltre tokens de autenticação e sequestre sessões autenticadas.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Sensitive Cookie Without 'HttpOnly' Flag vulnerability in Johnson Controls System Configuration Tool (SCT) version 14 prior to 14.2.3 and version 15 prior to 15.0.3 could allow access to the cookie.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
Johnson Controls · System Configuration Tool (SCT)Quer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →