PT-2021-14368 · Hedgedoc · Hedgedoc

Tobias Holland · Publicado 2021-01-22 · Atualizado 2021-06-08 · CVE-2021-21259

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:N

**Nome do software vulnerável e versões afetadas:

Versões do HedgeDoc anteriores à 1.7.2

Descrição:

O HedgeDoc é um software de código aberto que permite aos usuários criar notas colaborativas em Markdown em tempo real. Um invasor pode injetar código JavaScript arbitrário em uma nota do HedgeDoc, o qual é executado quando a nota é visualizada no modo de apresentação. Dependendo da configuração da instância, o invasor pode não precisar de autenticação para criar ou editar notas.

Recomendações:

Para versões do HedgeDoc anteriores à 1.7.2, atualize para a versão 1.7.2 para resolver o problema.

Como solução alternativa temporária, considere desativar o carregamento de JavaScript de sites de terceiros usando o cabeçalho Content-Security-Policy, observando que isso irá interromper alguns conteúdos incorporados.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-21259

GHSA-44W9-VM8P-3CXW

Produtos afetados

Hedgedoc

Referências · 10

• 🔥 https://github.com/hackmdio/codimd/issues/1648 · Exploit
• https://github.com/hackmdio/codimd · Nota
• https://github.com/hedgedoc/hedgedoc/releases/tag/1.7.2 · Nota
• https://github.com/hedgedoc/hedgedoc/security/advisories/GHSA-44w9-vm8p-3cxw · Nota
• https://github.com/hedgedoc/hedgedoc/commit/35b0d39a12aa35f27fba8c1f50b1886706e7efef · Correção
• https://osv.dev/vulnerability/CVE-2021-21259 · Aviso do Fabricante
• https://t.me/cvenotify/8868 · Publicação no Telegram
• https://t.me/cibsecurity/22526 · Publicação no Telegram
• https://t.me/cvenotify/15842 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-21259 · Nota de Segurança