PT-2020-16367 · Mit Scratch · Scratch Addons

Apple502J · Publicado 2020-11-23 · Atualizado 2020-12-03 · CVE-2020-26239

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Scratch Addons anteriores à 1.3.2

Descrição

O problema está relacionado a uma vulnerabilidade XSS baseada em DOM. Quando uma vítima acessa um site específico, o complemento “More Links” da extensão Scratch Addons utiliza incorretamente uma expressão regular, fazendo com que valores escapados em HTML tenham sua escapagem removida e levando a um ataque XSS.

Recomendações

Para versões anteriores à 1.3.2, atualize para a versão 1.3.2 para corrigir o bug, já que a extensão será atualizada automaticamente pelo navegador.

Como solução temporária, considere desativar o complemento More Links nas opções da extensão até que a atualização seja aplicada.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-26239

GHSA-6QFQ-PX3R-XJ4P

Produtos afetados

Scratch Addons

Referências · 7

• https://github.com/ScratchAddons/ScratchAddons/blob/a471893df403f86c9182970678175d4772a0690c/addons/more-links/userscript.js#L15 · Nota
• https://github.com/ScratchAddons/ScratchAddons/security/advisories/GHSA-6qfq-px3r-xj4p · Correção
• https://github.com/ScratchAddons/ScratchAddons/commit/b9a52d6532c8514254c7cc1d8e18710dbedc41ff · Correção
• https://github.com/ScratchAddons/ScratchAddons/releases/tag/v1.3.2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-26239 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-26239 · Aviso do Fabricante
• https://t.me/cibsecurity/16733 · Publicação no Telegram