PT-2021-14495 · Unknown · Mongo-Express
Jafar Akhondali
·
Publicado
2021-06-21
·
Atualizado
2021-06-29
·
CVE-2021-21422
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do mongo-express anteriores à v1.0.0-alpha.4
Descrição
A vulnerabilidade diz respeito a uma interface de administração do MongoDB baseada na web, na qual são possíveis dois tipos de ataques XSS. Quando o conteúdo de uma célula excede o tamanho permitido, clicar em uma linha exibe o documento completo sem escape, mas isso requer a interação do administrador na célula. Além disso, células de dados identificadas como mídia são renderizadas como mídia sem serem sanitizadas, permitindo possíveis ataques. Um usuário não autorizado pode explorar isso enviando uma grande quantidade de dados em um campo de um documento, usando uma carga útil com JavaScript incorporado para exportar uma coleção para o invasor sem o conhecimento do administrador. Outros tipos de ataques, como excluir um banco de dados ou uma coleção, também são possíveis.
Recomendações
Para versões anteriores à v1.0.0-alpha.4, atualize para a v1.0.0-alpha.4 para resolver o problema. Como solução temporária, considere restringir o acesso à interface afetada até que a atualização seja aplicada. Evite usar a interface para renderizar mídia ou documentos grandes até que o problema seja resolvido.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Mongo-Express