PT-2021-15503 · Video.Js+1 · Video.Js+1

CVE-2021-23414 · Publicado 2021-07-28 · Atualizado 2023-08-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do video.js anteriores à 7.14.3

Descrição

A vulnerabilidade permite contornar a codificação de escape HTML e executar código arbitrário por meio do atributo src da tag track.

Recomendações

Para versões anteriores à 7.14.3, atualize para a versão 7.14.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao atributo src da tag track para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

ALT-PU-2023-2012

ALT-PU-2023-2057

ALT-PU-2023-5127

CVE-2021-23414

GHSA-PP7M-6J83-M7R6

SNYK-JAVA-ORGWEBJARSBOWER-1533588

SNYK-JAVA-ORGWEBJARSNPM-1533587

SNYK-JS-VIDEOJS-1533429

Produtos afetados

Alt Linux

Video.Js

Referências · 17

• 🔥 https://snyk.io/vuln/SNYK-JS-VIDEOJS-1533429 · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSBOWER-1533588 · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-1533587 · Exploit
• https://github.com/videojs/video.js/commit/b3acf663641fca0f7a966525a72845af7ec5fab2 · Correção
• https://github.com/videojs/video.js · Nota
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/2DHYIIAUXUBHMBEDYU7TYNZXEN2W2SA2 · Aviso do Fabricante
• https://t.me/cvenotify/18636 · Publicação no Telegram
• https://t.me/cvenotify/18232 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-pp7m-6j83-m7r6 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/74SXNGA5RIWM7QNX7H3G7SYIQLP4UUGV · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-23414 · Nota de Segurança
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/NLRJB5JNKK3VVBLV3NH3RI7COEDAXSAB · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-23414 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/NLRJB5JNKK3VVBLV3NH3RI7COEDAXSAB · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/2DHYIIAUXUBHMBEDYU7TYNZXEN2W2SA2 · Aviso do Fabricante