Múltiples vulnerabilidades en FacturaScripts

Se han re­por­ta­do dos fa­llos de se­gu­ri­dad con un nivel de gra­ve­dad ca­li­fi­ca­do como medio que im­pac­tan a una apli­ca­ción de có­di­go abier­to des­ti­na­da a la fac­tu­ra­ción y la con­ta­bi­li­dad, tras la coor­di­na­ción por parte del or­ga­nis­mo co­rres­pon­dien­te y los ha­llaz­gos rea­li­za­dos por dos in­ves­ti­ga­do­res.

El pri­me­ro de los fa­llos, iden­ti­fi­ca­do con dos có­di­gos es­pe­cí­fi­cos, con­sis­te en un pro­ble­ma de tipo XSS al­ma­ce­na­do pre­sen­te en los cam­pos co­rres­pon­dien­tes a la ciu­dad y la pro­vin­cia den­tro de un end­point de­ter­mi­na­do. Esto se debe a una ca­ren­cia en la com­pro­ba­ción o de­pu­ra­ción de los datos in­gre­sa­dos por las per­so­nas usua­rias, lo cual po­dría po­si­bi­li­tar que un ata­can­te eje­cu­te scripts ma­li­cio­sos en el na­ve­ga­dor de la víc­ti­ma o in­cre­men­te sus pri­vi­le­gios den­tro de la pla­ta­for­ma.

La se­gun­da de­bi­li­dad de­tec­ta­da per­mi­te que usua­rios sin au­ten­ti­car lle­ven a cabo una enu­me­ra­ción de cuen­tas, ya que el sis­te­ma emite res­pues­tas dis­tin­tas al pro­bar cre­den­cia­les vá­li­das fren­te a otras in­co­rrec­tas. Dicha cir­cuns­tan­cia fa­ci­li­ta que un ata­can­te re­co­pi­le in­for­ma­ción sobre cuen­tas exis­ten­tes para pos­te­rior­men­te eje­cu­tar otras ofen­si­vas au­to­ma­ti­za­das o di­ri­gi­das.

Ambos in­con­ve­nien­tes de se­gu­ri­dad ya dis­po­nen de co­rrec­cio­nes im­ple­men­ta­das me­dian­te com­mits es­pe­cí­fi­cos en los re­po­si­to­rios co­rres­pon­dien­tes.