PT-2021-10608 · Zrlog · Zrlog

T-Podo · Publicado 2021-06-15 · Atualizado 2021-06-22 · CVE-2020-21316

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

ZrLog versão 2.1.3

Descrição:

Existe uma vulnerabilidade de script entre sites (XSS) na seção de comentários, que permite que invasores remotos injetem scripts web arbitrários e roubem cookies de administrador por meio do parâmetro nickname, obtendo acesso ao painel de administração.

Recomendações:

Para o ZrLog versão 2.1.3, considere desativar a seção de comentários ou restringir o acesso a ela até que uma correção esteja disponível para impedir a exploração da vulnerabilidade XSS. Evite usar o parâmetro nickname na seção de comentários até que o problema seja resolvido.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-21316

Produtos afetados

Zrlog

Referências · 7

• https://github.com/94fzb/zrlog/commit/b921c1ae03b8290f438657803eee05226755c941 · Correção
• https://github.com/94fzb/zrlog/issues/56 · Correção
• https://t.me/cvenotify/16384 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-21316 · Aviso do Fabricante
• https://t.me/cibsecurity/25473 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-21316 · Nota de Segurança
• https://gist.github.com/T-pod/d9405dbd61243990d65d55c5df0fcbe6 · Correção