PT-2020-14199 · Wagtail+1 · Wagtail+1
Timothy Bautista
·
Publicado
2020-07-20
·
Atualizado
2020-07-28
·
CVE-2020-15118
CVSS v4.0
7.2
Alta
| Vetor | AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do Wagtail anteriores à 2.7.4 e anteriores à 2.9.3
Descrição
O problema ocorre quando um tipo de página de formulário é disponibilizado aos editores do Wagtail por meio do aplicativo
wagtail.contrib.forms, e o modelo da página é criado usando os auxiliares padrão de renderização de formulários do Django, como form.as p. Quaisquer tags HTML usadas no texto de ajuda de um campo de formulário serão renderizadas sem escape na página, permitindo potencialmente ataques de cross-site scripting, incluindo escalonamento de privilégios. Essa funcionalidade não deveria ter sido disponibilizada para usuários com nível de editor. A vulnerabilidade não pode ser explorada por um visitante comum do site sem acesso ao painel de administração do Wagtail.Recomendações
Para versões anteriores à 2.7.4 e anteriores à 2.9.3, atualize para o Wagtail 2.7.4 ou Wagtail 2.9.3, onde o texto de ajuda será escapado para impedir a inclusão de tags HTML.
Como solução temporária para proprietários de sites que não possam atualizar para as novas versões, proteja os modelos de páginas de formulário renderizando os formulários campo a campo, conforme a documentação do Django, mas omitindo o filtro
|safe ao exibir o texto de ajuda.Os proprietários de sites que desejarem reativar o uso de HTML no texto de ajuda podem definir
WAGTAILFORMS HELP TEXT ALLOW HTML = True em suas configurações, aceitando o risco de que isso seja explorado por editores.Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Django
Wagtail