Pulse Secure версии 9.115 и ниже может быть подвержена клиентской контрабанде HTTP-запросов. Когда приложение получает POST-запрос, оно игн…

Pulse Secure версии 9.115 и ниже может быть подвержена клиентской контрабанде HTTP-запросов. Когда приложение получает POST-запрос, оно игнорирует заголовок Content-Length запроса и оставляет тело POST в сокете TCP/TLS. Это тело в конечном итоге предшествует следующему HTTP-запросу, отправленному по этому соединению, это означает, что когда кто-то загружает веб-сайт, злоумышленник может заставить браузер выдать POST-запрос в приложение, что позволит выполнить XSS.