PT-2020-10358 · Auth0 · Auth0-Lock

Muhamad Visat · Publicado 2020-01-31 · Atualizado 2020-02-05 · CVE-2019-20174

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Auth0 Lock anteriores à 11.21.0

Descrição

O problema surge quando additionalSignUpFields é usado com um placeholder não confiável no Auth0 Lock, permitindo cross-site scripting (XSS) nas páginas de cadastro. Isso ocorre quando a propriedade placeholder é obtida de uma fonte não confiável, como um parâmetro de consulta, e é usada para adicionar uma caixa de seleção à caixa de diálogo de cadastro. A vulnerabilidade está presente em versões do Auth0 Lock nas quais o código HTML gerado não é devidamente sanitizado.

Recomendações

Para versões do Auth0 Lock anteriores à 11.21.0, atualize para a versão 11.21.0 ou posterior para corrigir o problema. Na versão 11.21.0, a propriedade placeholder é tratada como texto simples, e uma nova propriedade placeholderHTML foi introduzida para uso com fontes confiáveis. Desenvolvedores que utilizam a propriedade placeholder com conteúdo HTML de uma fonte confiável devem começar a usar a propriedade placeholderHTML para manter a experiência do usuário.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2019-20174

GHSA-W2PF-G6R8-PG22

Produtos afetados

Auth0-Lock

Referências · 8

• 🔥 https://auth0.com/docs/security/bulletins/cve-2019-20174 · Exploit
• https://github.com/auth0/lock/releases/tag/v11.21.0 · Nota
• https://github.com/auth0/lock/security/advisories/GHSA-w2pf-g6r8-pg22 · Nota
• https://github.com/auth0/lock/commit/6c15e5659c21cd814ea119af5c51b61399598dd5 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2019-20174 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2019-20174 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-w2pf-g6r8-pg22 · Aviso do Fabricante
• https://t.me/cvenotify/735 · Publicação no Telegram