CVE-2022-21939highCWE-1004

CVE-2022-21939: falha de alta gravidade em Johnson Controls System Configuration Tool (SCT)

Sensitive cookie without 'HttpOnly' flag in System Configuration Tool (SCT)

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar System Configuration Tool

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.5%
Em resumo

A ferramenta System Configuration Tool armazena cookies sensíveis sem a proteção HttpOnly, permitindo que atacantes os roubem através de ataques com JavaScript. Isso coloca sessões de usuários em risco de acesso não autorizado.

Detalhe técnico

Vulnerabilidade CWE-1004 nas versões 14.x <14.2.3 e 15.x <15.0.3 do SCT da Johnson Controls expõe cookies de sessão sensíveis sem proteção HttpOnly, permitindo que injeção de scripts no lado do cliente (XSS) exfiltre tokens de autenticação e sequestre sessões autenticadas.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Sensitive Cookie Without 'HttpOnly' Flag vulnerability in Johnson Controls System Configuration Tool (SCT) version 14 prior to 14.2.3 and version 15 prior to 15.0.3 could allow access to the cookie.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
Johnson Controls · System Configuration Tool (SCT)
CVEs relacionadas — Johnson Controls System Configuration Tool (SCT)

No mesmo produto, das mais perigosas para as menos.

CVE-2022-21940HIGHSensitive Cookie in HTTPS Session Without 'Secure' Attribute in System Configuration Tool (SCT)EPSS 0.4%