PT-2020-16218 · Limesurvey · Limesurvey

Guram Javakhishvili · Publicado 2020-11-17 · Atualizado 2024-03-06 · CVE-2020-25798

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do LimeSurvey anteriores à 3.21.1

Descrição

Uma vulnerabilidade de script entre sites (XSS) armazenada permite que usuários autenticados com permissões adequadas injetem scripts da web ou HTML arbitrários por meio do parâmetro ParticipantAttributeNamesDropdown da seção Atributos na página central do banco de dados de participantes. Quando um atributo da pesquisa está sendo editado ou visualizado, o código JavaScript será executado no navegador.

Recomendações

Para versões anteriores à 3.21.1, atualize para uma versão posterior à 3.21.1 para resolver a vulnerabilidade. Como solução temporária, considere restringir o acesso ao parâmetro ParticipantAttributeNamesDropdown para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BIT-LIMESURVEY-2020-25798

CVE-2020-25798

Produtos afetados

Limesurvey

Referências · 7

• 🔥 https://bugs.limesurvey.org/view.php?id=15672 · Exploit
• https://github.com/LimeSurvey/LimeSurvey/commit/38e1ab069b538de7cb5f3a04939aba8e835640cb · Correção
• https://osv.dev/vulnerability/BIT-limesurvey-2020-25798 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-25798 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-25798 · Nota de Segurança
• https://t.me/cibsecurity/16448 · Publicação no Telegram
• https://t.me/cvenotify/6255 · Publicação no Telegram