PT-2020-9574 · Unknown · Limesurvey

Publicado 2020-03-16 · Atualizado 2020-03-18 · CVE-2019-14512

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

LimeSurvey versão 3.17.7+190627

Descrição:

O problema está relacionado a uma vulnerabilidade de tipo Cross-Site Scripting (XSS). O XSS é um tipo de vulnerabilidade de segurança que permite que um invasor insira scripts maliciosos em um site, os quais podem então ser executados pelos navegadores dos usuários. Isso pode levar à realização de ações não autorizadas em nome do usuário. A vulnerabilidade XSS, neste caso, foi encontrada em dois locais: no recurso Boxes, dentro do arquivo box.php da extensão PanelBoxWidget, e em um título de rótulo dentro do arquivo labelview view.php.

Recomendações:

Para a versão 3.17.7+190627 do LimeSurvey, considere desativar o recurso Boxes na extensão PanelBoxWidget e restringir a capacidade de editar títulos de rótulos no arquivo labelview view.php até que um patch esteja disponível. Evite usar o campo de título do rótulo no arquivo labelview view.php afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2019-14512

Produtos afetados

Limesurvey

Referências · 7

• https://github.com/LimeSurvey/LimeSurvey/commit/0b7391dff91b326284ca3fc5188b768b5d522d88 · Correção
• https://github.com/LimeSurvey/LimeSurvey/commit/f2566f6978a77e3f0870079c45cda1c065a58a73 · Correção
• https://limesurvey.org · Aviso do Fabricante
• https://t.me/cvenotify/1734 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2019-14512 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-14512 · Nota de Segurança
• https://linkedin.com/in/michelecisternino · Nota