PT-2021-11711 · Mautic · Mautic

Naveen Sunkavally · Publicado 2021-02-09 · Atualizado 2024-05-15 · CVE-2020-35125

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do Mautic anteriores à 2.16.5

Versões do Mautic anteriores à 3.2.4

Descrição:

Uma vulnerabilidade de script entre sites (XSS) no componente de formulários permite que invasores remotos injetem código JavaScript executável por meio de mautic[return]. Isso poderia permitir que um invasor obtivesse acesso não autorizado ao Mautic com privilégios de administrador. A vulnerabilidade foi relatada por Naveen Sunkavally da Horizon3.ai.

Recomendações:

Para versões anteriores à 2.16.5, atualize para a 2.16.5.

Para versões anteriores à 3.2.4, atualize para a 3.2.4.

Como solução temporária, considere restringir o acesso ao componente de formulários até que um patch seja aplicado.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-35125

GHSA-42Q7-95J7-W62M

Produtos afetados

Mautic

Referências · 10

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/mautic/core/CVE-2020-35125.yaml · Exploit
• 🔥 https://horizon3.ai/disclosures/mautic-unauth-xss-to-rce · Exploit
• https://github.com/mautic/mautic/security/advisories/GHSA-42q7-95j7-w62m · Correção
• https://forum.mautic.org/c/announcements/16 · Aviso do Fabricante
• https://t.me/cibsecurity/23338 · Publicação no Telegram
• https://packagist.org/packages/mautic/core · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-35125 · Nota de Segurança
• https://mautic.org/blog/community/security-release-all-versions-mautic-prior-2-16-5-and-3-2-4 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-35125 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-42q7-95j7-w62m · Aviso do Fabricante