PT-2020-17856 · October · October Cms

Publicado 2020-07-02 · Atualizado 2020-07-06 · CVE-2020-4061

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do October CMS de 1.0.319 a 1.0.466

Descrição

Colocar conteúdo copiado de sites maliciosos no editor de rich text do Froala pode resultar em um ataque de auto-XSS bem-sucedido. Esta vulnerabilidade é classificada como de risco baixo, uma vez que só pode afetar usuários que copiem e colem conteúdo de sites maliciosos. Não há informações sobre o número estimado de dispositivos potencialmente afetados em todo o mundo ou incidentes reais em que essa vulnerabilidade tenha sido explorada.

Recomendações

Para as versões 1.0.319 a 1.0.466, atualize para a versão 1.0.467 para resolver o problema.

Como solução alternativa temporária para versões que não podem ser atualizadas para a 1.0.467, aplique manualmente o patch disponível em https://github.com/octobercms/october/commit/b384954a29b89117e1c0d6035b3ede4f46df67c5 à sua instalação.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-4061

GHSA-3PC2-FM7P-Q2VG

Produtos afetados

October Cms

Referências · 7

• 🔥 https://research.securitum.com/the-curious-case-of-copy-paste · Exploit
• https://github.com/octobercms/october/commit/b384954a29b89117e1c0d6035b3ede4f46df67c5 · Correção
• https://github.com/octobercms/october/security/advisories/GHSA-3pc2-fm7p-q2vg · Nota
• https://t.me/cvenotify/4829 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-4061 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-4061 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-3pc2-fm7p-q2vg · Aviso do Fabricante