PT-2020-16681 · Yourls · Yourls Admin Panel

John2020 + 1 · Publicado 2020-10-23 · Atualizado 2022-05-24 · CVE-2020-27388

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Painel de administração do YOURLS, versões 1.5 a 1.7.10

Descrição

Existem várias vulnerabilidades de Cross Site Scripting (XSS) armazenadas devido à possibilidade de um usuário autenticado modificar um plugin PHP com uma carga maliciosa e enviá-lo. Isso resulta em várias vulnerabilidades de XSS armazenadas.

Recomendações

Para as versões 1.5 a 1.7.10 do Painel de Administração do YOURLS, considere desativar o recurso de upload de plug-ins até que uma correção esteja disponível para impedir a exploração das vulnerabilidades de XSS armazenado. Restrinja o acesso ao painel de administração para minimizar o risco de usuários autenticados fazerem upload de plug-ins maliciosos.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-27388

GHSA-PWGG-R6FQ-MF94

Produtos afetados

Yourls Admin Panel

Referências · 12

• https://github.com/YOURLS/YOURLS/pull/2761 · Nota
• https://github.com/YOURLS/YOURLS/pull/2761/commits/93396c14587ece4f3d7bcb654f6d22eb0bae7d74 · Nota
• https://github.com/YOURLS/YOURLS/commit/04495e8b17ffeedb695ef5a64389f6bee15d57fb · Nota
• https://github.com/YOURLS/YOURLS · Nota
• http://yourls.com · Nota
• https://t.me/cibsecurity/15569 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-27388 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-27388 · Aviso do Fabricante
• https://johnjhacking.com/blog/cve-2020-27388 · Nota
• https://osv.dev/vulnerability/GHSA-pwgg-r6fq-mf94 · Aviso do Fabricante
• https://t.me/cibsecurity/15570 · Publicação no Telegram
• http://yourls.org · Nota