PT-2021-15525 · Unknown · File-Upload-With-Preview

Michele Di Stefano · Publicado 2021-09-05 · Atualizado 2024-03-26 · CVE-2021-23439

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.3

Média

Vetor base

AV:N/AC:M/Au:N/C:N/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões do file-upload-with-preview anteriores à 4.2.0

Descrição

A vulnerabilidade permite que um arquivo contendo código JavaScript malicioso em seu nome seja enviado, mas isso requer que o usuário seja induzido a enviar tal arquivo.

Recomendações

Para versões anteriores à 4.2.0, atualize para a versão 4.2.0 ou posterior para resolver o problema.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-23439

GHSA-97PV-4338-R5VP

SNYK-JS-FILEUPLOADWITHPREVIEW-1579492

Produtos afetados

File-Upload-With-Preview

Referências · 9

• https://github.com/johndatserakis/file-upload-with-preview/blob/develop/src/file-upload-with-preview.js%23L168 · Nota
• https://github.com/johndatserakis/file-upload-with-preview/pull/40/files?file-filters%5B%5D=.js&hide-deleted-files=true%23diff-fe47b243de17419c0daa22cd785cd754baed60cf3679d3da1d6fe006f9f4a7f0R174 · Correção
• https://github.com/johndatserakis/file-upload-with-preview · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-23439 · Nota de Segurança
• https://t.me/cibsecurity/28267 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-23439 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-97pv-4338-r5vp · Aviso do Fabricante
• https://t.me/cvenotify/20671 · Publicação no Telegram
• https://snyk.io/vuln/SNYK-JS-FILEUPLOADWITHPREVIEW-1579492 · Nota