PT-2021-11830 · Zonote · Zonote

Publicado 2021-01-01 · Atualizado 2021-01-07 · CVE-2020-35717

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.0

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

versões do zonote até a 0.4.0

Descrição:

A vulnerabilidade permite ataques de Cross-Site Scripting (XSS) por meio de uma nota maliciosa, o que pode resultar na execução remota de código. Isso é possível porque a propriedade nodeIntegration em webPreferences está definida como true.

Recomendações:

Para versões até 0.4.0, atualize para uma versão em que nodeIntegration em webPreferences esteja definido como false ou aplique outras medidas de mitigação para prevenir ataques XSS.

Como solução temporária, considere desativar o nodeIntegration em webPreferences até que um patch esteja disponível.

Restrinja o acesso a notas criadas de forma maliciosa para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-35717

Produtos afetados

Zonote

Referências · 9

• 🔥 https://github.com/hmartos/cve-2020-35717 · Exploit
• 🔥 https://medium.com/bugbountywriteup/remote-code-execution-through-cross-site-scripting-in-electron-f3b891ad637 · Exploit
• https://github.com/zonetti/zonote · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-35717 · Nota de Segurança
• https://t.me/cybersecuritytechnologies/2444 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-35717 · Aviso do Fabricante
• https://t.me/cvenotify/8081 · Publicação no Telegram
• https://t.me/cibsecurity/21507 · Publicação no Telegram
• https://electronjs.org/apps/zonote · Nota