PT-2020-14226 · Discord · Red Discord Bot

Jackenmen + 1 · Publicado 2020-08-21 · Atualizado 2021-11-18 · CVE-2020-15147

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.5

Alta

Vetor base

AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Red Discord Bot anteriores à 3.3.12 e à 3.4

Descrição

A vulnerabilidade permite que usuários do Discord, por meio de mensagens de “entrada ao vivo” criadas especificamente para esse fim, injetem código na mensagem de entrada ao vivo do módulo Streams, o que pode levar a ações destrutivas e/ou ao acesso a informações confidenciais.

Recomendações

Para versões anteriores à 3.3.12 e 3.4, atualize para a versão 3.3.12 ou 3.4 para corrigir completamente o problema.

Como solução temporária, considere descarregar o módulo Streams com unload streams para tornar a exploração inacessível.

Correção

Code Injection

Special Elements Injection

Enumeração de Fraquezas

CWE-94

CWE-74

Identificadores relacionados

CVE-2020-15147

GHSA-7257-96VG-QF6X

PYSEC-2020-266

Produtos afetados

Red Discord Bot

Referências · 9

• https://github.com/Cog-Creators/Red-DiscordBot/pull/4183 · Correção
• https://github.com/Cog-Creators/Red-DiscordBot/pull/4183/commits/e269ea0d3bc88417163c18431b1df38a9be92bfc · Correção
• https://github.com/Cog-Creators/Red-DiscordBot/security/advisories/GHSA-7257-96vg-qf6x · Nota
• https://github.com/Cog-Creators/Red-DiscordBot · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/red-discordbot/PYSEC-2020-266.yaml · Nota
• https://osv.dev/vulnerability/PYSEC-2020-266 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15147 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-15147 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-7257-96vg-qf6x · Aviso do Fabricante