PT-2020-12725 · Unknown · Xdlocalstorage

Grimhacker · Publicado 2020-04-07 · Atualizado 2021-12-09 · CVE-2020-11611

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

xdLocalStorage versões 2.0.5 e anteriores

Descrição

Foi descoberta uma falha na função buildMessage() no xdLocalStorage.js, que especifica o curinga (*) como targetOrigin ao chamar a função postMessage() no objeto iframe. Isso permite que qualquer domínio atualmente carregado dentro do iframe receba as mensagens enviadas pelo cliente.

Recomendações

Para as versões 2.0.5 e anteriores, considere restringir o acesso à função buildMessage() no xdLocalStorage.js até que uma correção esteja disponível. Como solução temporária, evite usar o curinga (*) como targetOrigin ao chamar a função postMessage() no objeto iframe para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2020-11611

GHSA-C6C4-JMQX-3R33

Produtos afetados

Xdlocalstorage

Referências · 6

• 🔥 https://grimhacker.com/exploiting-xdlocalstorage-localstorage-and-postmessage/#Missing-TargetOrigin-Client · Exploit
• https://github.com/ofirdagan/cross-domain-local-storage · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-11611 · Nota de Segurança
• https://t.me/cvenotify/2507 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-c6c4-jmqx-3r33 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-11611 · Aviso do Fabricante