PT-2020-16376 · Discord · Red Discord Bot

Publicado 2020-12-08 · Atualizado 2020-12-10 · CVE-2020-26249

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Red Discord Bot anteriores à 0.1.7a

Descrição

Foi descoberta uma vulnerabilidade de execução remota de código (RCE) no painel de controle do Red Discord Bot, permitindo que usuários do Discord com nomes de servidor e nomes de usuário/apelidos especialmente criados injetem código no código front-end do servidor web. Essa vulnerabilidade pode ser usada para realizar ações destrutivas e/ou acessar informações confidenciais.

Recomendações

Para versões anteriores à 0.1.7a, atualize os pacotes relevantes (módulo do painel e servidor web do painel) para a versão 0.1.7a para corrigir esse problema. Não há soluções alternativas, e os proprietários dos bots devem atualizar para resolver o problema.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-26249

GHSA-HM45-MGQM-GJM4

PYSEC-2020-98

Produtos afetados

Red Discord Bot

Referências · 12

• https://github.com/pypa/advisory-database/tree/main/vulns/red-dashboard/PYSEC-2020-98.yaml · Nota
• https://github.com/Cog-Creators/Red-Dashboard/commit/a6b9785338003ec87fb75305e7d1cc2d40c7ab91 · Correção
• https://github.com/Cog-Creators/Red-Dashboard/security/advisories/GHSA-hm45-mgqm-gjm4 · Correção
• https://github.com/Cog-Creators/Red-Dashboard/commit/99d88b840674674166ce005b784ae8e31e955ab1 · Correção
• https://github.com/Cog-Creators/Red-Dashboard · Nota
• https://osv.dev/vulnerability/GHSA-hm45-mgqm-gjm4 · Aviso do Fabricante
• https://t.me/cibsecurity/17461 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2020-98 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-26249 · Nota de Segurança
• https://t.me/cvenotify/6796 · Publicação no Telegram
• https://pypi.org/project/Red-Dashboard · Nota
• https://osv.dev/vulnerability/CVE-2020-26249 · Aviso do Fabricante