PT-2021-10802 · Froala · Froala Wysiwyg Editor

W2Ning · Publicado 2021-10-26 · Atualizado 2022-09-23 · CVE-2020-22864

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Froala WYSIWYG Editor versão 3.1.0

Descrição

Uma vulnerabilidade de script entre sites (XSS) na função “Inserir vídeo” do Froala WYSIWYG Editor permite que invasores executem scripts da web ou HTML arbitrários.

Recomendações

Para o Froala WYSIWYG Editor versão 3.1.0, considere desativar a função Inserir Vídeo como uma solução temporária até que uma correção esteja disponível. Restrinja o acesso a essa função para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-22864

GHSA-97X5-CC53-CV4V

Produtos afetados

Froala Wysiwyg Editor

Referências · 11

• 🔥 https://github.com/froala/wysiwyg-editor/issues/3880 · Exploit
• 🔥 https://youtube.com/watch?v=WE3b1iSnWJY · Exploit
• https://github.com/froala/wysiwyg-editor · Nota
• https://github.com/froala/wysiwyg-editor/releases/tag/v4.0.11 · Nota
• https://github.com/froala/wysiwyg-editor/pull/3911 · Nota
• https://github.com/418sec/wysiwyg-editor/pull/1 · Nota
• https://t.me/cibsecurity/31258 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-22864 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-97x5-cc53-cv4v · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-22864 · Nota de Segurança
• https://t.me/cvenotify/22456 · Publicação no Telegram