BDU:2023-07458

Уязвимость компонента bitrix/modules/main/tools.php сервиса для управления бизнесом Битрикс24 связана с отсутствием заголовка ответа типа mime. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный JavaScript-код, путем загрузки созданного HTML-файла через /desktop_app/file.ajax.php?action=uploadfile

Компенсирующие меры:
- на веб-сервере настроить папку upload для отдачи html файлов как text/plain;
- отключение/удаление неиспользуемых учётных записей пользователей;
- минимизация пользовательских привилегий;
- использование средств межсетевого экранирования уровня веб-приложений;
- контроль журналов трафика на наличие тегов и других XSS-векторов в загружаемых файлах.

Использование рекомендаций производителя:
https://www.1c-bitrix.ru/vul/18880556/