PT-2020-7235 · Unknown · Zend Framework

Jan Lieskovsky · Publicado 2020-01-03 · Atualizado 2020-01-14 · CVE-2012-4451

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 2.0.x a 2.0.0 do Zend Framework

Descrição

Várias vulnerabilidades de script entre sites (XSS) permitem que invasores remotos injetem scripts da Web ou HTML arbitrários por meio de entradas não especificadas em vários componentes, incluindo (1) Debug, (2) FeedPubSubHubbub, (3) LogFormatterXml, (4) TagCloudDecorator, (5) Uri, (6) ViewHelperHeadStyle, (7) ViewHelperNavigationSitemap ou (8) ViewHelperPlaceholderContainerAbstractStandalone, relacionadas ao Escaper.

Recomendações

Para as versões 2.0.x a 2.0.0, atualize para a versão 2.0.1 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir a entrada nos componentes afetados, como Debug, FeedPubSubHubbub, LogFormatterXml, TagCloudDecorator, Uri, ViewHelperHeadStyle, ViewHelperNavigationSitemap ou ViewHelperPlaceholderContainerAbstractStandalone, até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2012-4451

Produtos afetados

Zend Framework

Referências · 13

• https://github.com/zendframework/zf2/commit/27131ca9520bdf1d4c774c71459eba32f2b10733 · Correção
• https://bugzilla.redhat.com/show_bug.cgi?id=860738 · Correção
• https://cve.org/CVERecord?id=CVE-2012-4451 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2012-4451 · Nota de Segurança
• https://ubuntu.com/security/CVE-2012-4451 · Aviso do Fabricante
• http://securityfocus.com/bid/55636 · Nota
• http://framework.zend.com/security/advisory/ZF2012-03 · Aviso do Fabricante
• https://bugs.gentoo.org/show_bug.cgi?id=436210 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2012-4451 · Aviso do Fabricante
• http://seclists.org/oss-sec/2012/q3/571 · Correção
• https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=688946#10 · Nota
• https://t.me/cibsecurity/8991 · Publicação no Telegram
• http://seclists.org/oss-sec/2012/q3/573 · Correção