Múltiples vulnerabilidades en WEPA Print Away

Fecha de publicación 27/01/2023

Identificador

INCIBE-2022-1037

Importancia

3 - Media

Recursos Afectados

Componente de carga de documentos de WEPA Print Away.
Componente de generación de código de liberación de WEPA Print Away.

Descripción

INCIBE ha coordinado la publicación de 2 vulnerabilidades en WEPA Print Away, que han sido descubiertas por Enrique Benvenutto Navarro.

A estas vulnerabilidades se les han asignado los códigos:

CVE-2022-42908. Se ha calculado una puntuación base CVSS v3.1 de 6,3, siendo el cálculo del CVSS el siguiente: AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:H/A:N. El tipo de vulnerabilidad es CWE-79: neutralización inadecuada de la entrada durante la generación de la página web (Cross-Site Scripting).
CVE-2022-42909. Se ha calculado una puntuación base CVSS v3.1 de 6,5, siendo el cálculo del CVSS el siguiente: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N. El tipo de vulnerabilidad es CWE-284: control de acceso inadecuado.

Solución

Ambas vulnerabilidades han sido solucionadas por el equipo de seguridad de WEPA.

Detalle

WEPA Print Away es una solución de gestión de impresión en la nube utilizada para la impresión de documentos por estudiantes en entornos de educación superior y universitarios.

CVE-2022-42908: WEPA Print Away es vulnerable a un XSS almacenado. No sanea correctamente los nombres de archivo cargados, lo que podría permitir a un atacante engañar a un usuario para que cargue un documento con un nombre de archivo malicioso, que se incluirá en las respuestas HTTP posteriores, permitiendo que se produzca un XSS almacenado. Este ataque es persistente a través de las sesiones de la víctima.
CVE-2022-42909: WEPA Print Away no verifica que un usuario tenga autorización para acceder a los documentos antes de generar órdenes de impresión y sus códigos de liberación asociados. Esto podría permitir a un atacante generar órdenes de impresión y códigos de liberación para documentos que no posee e imprimirlos sin autorización. Para explotar esta vulnerabilidad, el usuario debe tener una cuenta en wepanow.com o en cualquiera de las instituciones a las que prestan servicio, y estar conectado.

Si tienes más información sobre este aviso, ponte en contacto con INCIBE, como se indica en la sección de 'Asignación y publicación de CVE'.