CVE-2023-4709

TOTVS RM 12.1 versiyasında problemli kimi təsnif edilən bir boşluq aşkar edilmişdir. Portal komponentinin Login.aspx faylının naməlum funksiyası bu problemi yaradır. VIEWSTATE arqumentinin manipulyasiyası saytlararası skriptinqə (XSS) səbəb olur. Hücumun uzaqdan həyata keçirilməsi mümkündür. Hücumun mürəkkəbliyi kifayət qədər yüksəkdir və istismar edilməsi çətin hesab olunur. Problem <pages validateRequest="true" [...] viewStateEncryptionMode="Always" /> konfiqurasiya parametrlərini tətbiq etməklə yumşaldıla bilər. Konfiqurasiya parametrlərinin dəyişdirilməsi tövsiyə olunur. Vendor ilə bu məlumatın açıqlanması ilə bağlı əvvəlcədən əlaqə saxlanılmışdı, lakin hər hansı cavab alınmamışdı. Sonrakı bəyanatda vendor izah edir ki, "təsvir olunan davranış [...] standart tətbiq quruluşunun hissəsi olmayan xüsusi konfiqurasiyalarla bağlıdır. Standart istehsal mühitlərində müvafiq funksiya (VIEWSTATE) susmaya görə söndürülmüşdür ki, bu da istismar riskini effektiv şəkildə azaldır".