PT-2020-14200 · Auth0 · Auth0-Lock

Lzychowski + 1 · Publicado 2020-08-19 · Atualizado 2020-08-25 · CVE-2020-15119

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do auth0-lock anteriores à 11.26.3

Descrição

A vulnerabilidade expõe os aplicativos e seus usuários a ataques de cross-site scripting (XSS) devido ao uso de dangerouslySetInnerHTML para atualizar o DOM. Isso ocorre quando o auth0-lock é usado com os modos de conexão Passwordless ou Enterprise, nos quais as entradas do usuário (como e-mail, número de telefone ou domínio do IdP) são exibidas de volta ao usuário. Isso pode levar a ataques de XSS.

Recomendações

Para versões anteriores à 11.26.3, atualize para a versão 11.26.3 para resolver o problema. Como solução alternativa temporária, considere evitar o uso dos modos de conexão Passwordless ou Enterprise até que a atualização seja aplicada.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-15119

GHSA-6GG3-PMM7-97XC

Produtos afetados

Auth0-Lock

Referências · 5

• https://github.com/auth0/lock/security/advisories/GHSA-6gg3-pmm7-97xc · Nota
• https://github.com/auth0/lock/commit/3711fb5b42afd40073a61a58759251f51e768b1b · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-15119 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-15119 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6gg3-pmm7-97xc · Aviso do Fabricante