PT-2021-14126 · Growi · Growi

Publicado 2021-03-10 · Atualizado 2021-03-15 · CVE-2021-20667

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Versões v4.2.2 e anteriores do GROWI

Descrição:

O problema está relacionado a uma vulnerabilidade de cross-site scripting armazenada, causada por uma configuração inadequada da Política de Segurança de Conteúdo (CSP). Isso permite que invasores remotos autenticados injetem um script arbitrário por meio de conteúdo especialmente criado.

Recomendações:

Para as versões v4.2.2 e anteriores do GROWI, atualize para uma versão que configure adequadamente a Política de Segurança de Conteúdo (CSP) para prevenir ataques de cross-site scripting.

Como solução temporária, considere restringir o acesso a áreas sensíveis do aplicativo onde conteúdo gerado pelo usuário possa ser publicado, a fim de minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-20667

Produtos afetados

Growi

Referências · 6

• https://osv.dev/vulnerability/CVE-2021-20667 · Aviso do Fabricante
• https://jvn.jp/en/vu/JVNVU94889258/index.html · Nota
• https://t.me/cvenotify/11374 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-20667 · Nota de Segurança
• https://weseek.co.jp/security/2021/03/08/vulnerability/growi-prevent-multiple-xss · Aviso do Fabricante
• https://t.me/cvenotify/11066 · Publicação no Telegram