PT-2020-16405 · Hedgedoc+1 · Hedgedoc+2

Alemmi · Publicado 2020-12-28 · Atualizado 2020-12-30 · CVE-2020-26287

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do HedgeDoc anteriores à 1.7.1

Descrição

A vulnerabilidade permite que um invasor insira tags script arbitrárias em notas do HedgeDoc que utilizem diagramas Mermaid. Embora a política de segurança de conteúdo impeça o carregamento de scripts da maioria dos locais, www.google-analytics.com é permitido, o que pode ser explorado usando o Google Tag Manager para inserir JavaScript arbitrário e executá-lo ao carregar a página. Dependendo da configuração da instância, o invasor pode não precisar de autenticação para criar ou editar notas.

Recomendações

Para versões do HedgeDoc anteriores à 1.7.1, atualize para a versão 1.7.1 para resolver o problema.

Como solução alternativa temporária, considere desativar www.google-analytics.com no cabeçalho Content-Security-Policy para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-26287

GHSA-G6W6-7XF9-M95P

Produtos afetados

Google Analytics

Google Tag Manager

Hedgedoc

Referências · 8

• 🔥 https://github.com/Alemmi/ctf-writeups/blob/main/hxpctf-2020/hackme/solution.md · Exploit
• https://github.com/hackmdio/codimd/issues/1630 · Nota
• https://github.com/hedgedoc/hedgedoc/security/advisories/GHSA-g6w6-7xf9-m95p · Nota
• https://github.com/hedgedoc/hedgedoc/commit/58276ebbf4504a682454a3686dcaff88bc1069d4 · Correção
• https://github.com/hedgedoc/hedgedoc/releases/tag/1.7.1 · Nota
• https://t.me/cvenotify/7857 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-26287 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-26287 · Nota de Segurança