PT-2020-12724 · Xdlocalstorage · Xdlocalstorage

Grimhacker · Publicado 2020-04-07 · Atualizado 2022-05-24 · CVE-2020-11610

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

xdLocalStorage versões 2.0.5 e anteriores

Descrição

Foi detectada uma falha na função postData() no arquivo xdLocalStoragePostMessageApi.js, que define o curinga (*) como targetOrigin ao chamar a função postMessage() no objeto pai. Isso permite que qualquer domínio carregue o aplicativo que hospeda o “iframe mágico” e receba as mensagens que o “iframe mágico” envia.

Recomendações

Para as versões 2.0.5 e anteriores, considere desativar a função postData() no xdLocalStoragePostMessageApi.js até que um patch esteja disponível para impedir que qualquer domínio receba mensagens do “iframe mágico”. Restrinja o acesso ao “iframe mágico” para minimizar o risco de exploração. Evite usar o curinga (*) como targetOrigin na função postMessage() para impedir que domínios não autorizados recebam mensagens.

Exploit

Correção

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-668

Identificadores relacionados

CVE-2020-11610

GHSA-MR5M-2385-2VCP

Produtos afetados

Xdlocalstorage

Referências · 8

• 🔥 https://grimhacker.com/exploiting-xdlocalstorage-localstorage-and-postmessage/#Missing-TargetOrigin-Magic-iframe · Exploit
• https://github.com/ofirdagan/cross-domain-local-storage/pull/19 · Nota
• https://github.com/ofirdagan/cross-domain-local-storage/issues/17 · Nota
• https://github.com/ofirdagan/cross-domain-local-storage · Nota
• https://osv.dev/vulnerability/CVE-2020-11610 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mr5m-2385-2vcp · Aviso do Fabricante
• https://t.me/cvenotify/2506 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-11610 · Nota de Segurança