CVE-2023-4709

TOTVS RM 12.1 sürümünde sorunlu olarak sınıflandırılan bir güvenlik açığı bulunmuştur. Portal bileşeninin Login.aspx dosyasının bilinmeyen bir fonksiyonu etkilenmektedir. VIEWSTATE argümanının manipülasyonu, siteler arası betik çalıştırmaya (XSS) yol açmaktadır. Saldırıyı uzaktan başlatmak mümkündür. Bir saldırının karmaşıklığı oldukça yüksektir ve istismar edilebilirliğinin zor olduğu belirtilmiştir. Sorun, <pages validateRequest="true" [...] viewStateEncryptionMode="Always" /> yapılandırma ayarı uygulanarak hafifletilebilir. Yapılandırma ayarlarının değiştirilmesi önerilir. Satıcıyla bu açıklama hakkında başlangıçta erken iletişime geçilmiş ancak herhangi bir yanıt alınmamıştır. Daha sonra yapılan bir açıklamada satıcı, "tanımlanan davranışın [...] varsayılan uygulama kurulumunun parçası olmayan belirli yapılandırmalarla ilgili olduğunu; standart üretim ortamlarında ilgili özelliğin (VIEWSTATE) varsayılan olarak devre dışı bırakıldığını ve bunun da istismar riskini etkili bir şekilde azalttığını" belirtmiştir.