PT-2020-9726 · Fileview · Fileview

Publicado 2020-01-06 · Atualizado 2020-04-01 · CVE-2019-15602

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

fileview versões 0.1.6 e anteriores

fileview (todas as versões)

Descrição

O problema está relacionado à codificação e ao escape inadequados na saída do pacote fileview, levando a uma vulnerabilidade de Cross-Site Scripting (XSS) armazenada nos arquivos que ele serve. Essa vulnerabilidade permite que invasores executem JavaScript arbitrário no navegador da vítima por meio de arquivos com nomes contendo código malicioso, uma vez que o pacote não sanitiza os nomes dos arquivos.

Recomendações

Para a versão 0.1.6 do fileview, considere usar um pacote alternativo até que uma correção seja disponibilizada.

Para todas as versões do fileview, considere usar um pacote alternativo até que uma correção seja disponibilizada.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2019-15602

GHSA-GVR4-7XGC-GX3W

Produtos afetados

Fileview

Referências · 7

• 🔥 https://hackerone.com/reports/507159 · Exploit
• https://github.com/itworkcenter/fileview/pull/2 · Nota
• https://github.com/itworkcenter/fileview/issues/1 · Nota
• https://npmjs.com/advisories/1452 · Nota
• https://osv.dev/vulnerability/GHSA-gvr4-7xgc-gx3w · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-15602 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2019-15602 · Aviso do Fabricante