PT-2020-7274 · Roundup · Roundup

Thomas Arendsen Hein · Publicado 2020-01-30 · Atualizado 2022-04-23 · CVE-2012-6133

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Roundup anteriores à 1.4.20

Descrição:

A vulnerabilidade permite que invasores remotos injetem scripts da Web ou HTML arbitrários por meio dos parâmetros @ok message ou @error message na função issue*. Isso permite que os invasores realizem ataques de cross-site scripting (XSS).

Recomendações:

Para versões anteriores à 1.4.20, atualize para a versão 1.4.20 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso aos parâmetros @ok message e @error message no endpoint issue* até que um patch esteja disponível. Evite usar os parâmetros @ok message e @error message no endpoint afetado até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2012-6133

DLA-298-1

GHSA-5JQ3-8437-X35P

PYSEC-2020-212

Produtos afetados

Roundup

Referências · 12

• 🔥 https://pypi.python.org/pypi/roundup/1.4.20 · Exploit
• https://github.com/pypa/advisory-database/tree/main/vulns/roundup/PYSEC-2020-212.yaml · Nota
• https://t.me/cvenotify/674 · Publicação no Telegram
• http://issues.roundup-tracker.org/issue2550724 · Aviso do Fabricante
• http://hg.code.sf.net/p/roundup/code · Nota
• https://osv.dev/vulnerability/PYSEC-2020-212 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2012-6133 · Nota de Segurança
• https://bugzilla.redhat.com/show_bug.cgi?id=722672 · Nota
• http://openwall.com/lists/oss-security/2013/02/13/8 · Nota
• https://github.com/advisories/GHSA-5jq3-8437-x35p · Nota
• https://osv.dev/vulnerability/GHSA-5jq3-8437-x35p · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2012/11/10/2 · Nota