PT-2020-14220 · Discord · Red Discord Bot

Douglascdev · Publicado 2020-08-21 · Atualizado 2021-11-18 · CVE-2020-15140

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Red Discord Bot anteriores à 3.3.11

Descrição

Foi descoberta uma vulnerabilidade de execução remota de código no módulo Trivia, permitindo que usuários do Discord com nomes de usuário criados especificamente para esse fim injetem código no comando da tabela de classificação do módulo Trivia. Essa vulnerabilidade pode ser usada para realizar ações destrutivas e/ou acessar informações confidenciais.

Recomendações

Para versões anteriores à 3.3.11, atualize para a versão 3.3.11 para corrigir completamente este problema.

Como solução temporária, considere desativar o módulo Trivia com unload trivia para tornar esta vulnerabilidade inacessível.

Correção

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

CVE-2020-15140

GHSA-55J9-849X-26H4

PYSEC-2020-265

Produtos afetados

Red Discord Bot

Referências · 8

• https://github.com/Cog-Creators/Red-DiscordBot/pull/4175/commits/9ab536235bafc2b42c3c17d7ce26f1cc64482a81 · Correção
• https://github.com/Cog-Creators/Red-DiscordBot/security/advisories/GHSA-55j9-849x-26h4 · Nota
• https://github.com/Cog-Creators/Red-DiscordBot · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/red-discordbot/PYSEC-2020-265.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-15140 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-15140 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2020-265 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-55j9-849x-26h4 · Aviso do Fabricante