PT-2020-12194 · Primetek · Primefaces

Dgusoft · Publicado 2020-03-13 · Atualizado 2021-05-07 · CVE-2020-10544

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

PrimeFaces versão 7.0.11

Descrição

Foi descoberta uma vulnerabilidade de cross-site scripting (XSS) no componente tooltip/tooltip.js do PrimeFaces. Essa vulnerabilidade permite que um invasor insira código JavaScript em um campo de entrada, que posteriormente é usado como título de dica de ferramenta sem qualquer validação de entrada, podendo levar à execução de scripts maliciosos.

Recomendações

Para o PrimeFaces versão 7.0.11, considere validar todos os dados de entrada do usuário usados nos títulos das dicas de ferramenta para impedir a injeção de código JavaScript malicioso. Como solução temporária, restrinja o uso do recurso de dicas de ferramenta até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-10544

GHSA-FW5F-7C6C-3VMV

Produtos afetados

Primefaces

Referências · 7

• https://github.com/primefaces/primefaces/issues/5642 · Nota
• https://github.com/primefaces/primefaces · Nota
• https://github.com/primefaces/primefaces/commit/9982c4f7a83f75e3ab06168fa283e3d6128dfd1f · Nota
• https://osv.dev/vulnerability/GHSA-fw5f-7c6c-3vmv · Aviso do Fabricante
• https://t.me/cvenotify/1632 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-10544 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-10544 · Nota de Segurança