PT-2021-15538 · Plupload · Plupload

Michele Di Stefano · Publicado 2021-12-03 · Atualizado 2021-12-16 · CVE-2021-23562

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do plupload anteriores à 2.3.9

Descrição

A vulnerabilidade permite que um invasor envie um arquivo cujo nome contenha código JavaScript, o qual poderia então ser executado. Para isso, o invasor precisaria induzir um usuário a enviar tal arquivo. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados ou sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

Recomendações

Para versões anteriores à 2.3.9, atualize para a versão 2.3.9 ou posterior para resolver o problema. Como solução temporária, considere restringir o envio de arquivos para impedir a execução de código JavaScript até que um patch seja aplicado. Evite permitir que usuários enviem arquivos com nomes contendo código JavaScript no pacote plupload afetado.

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

CWE-75

Identificadores relacionados

CVE-2021-23562

GHSA-RP2C-JRGP-CVR8

SNYK-JAVA-ORGWEBJARS-2306665

SNYK-JAVA-ORGWEBJARSBOWER-2306663

SNYK-JAVA-ORGWEBJARSBOWERGITHUBMOXIECODE-2306664

SNYK-JS-PLUPLOAD-1583909

Produtos afetados

Plupload

Referências · 14

• https://github.com/moxiecode/plupload · Nota
• https://github.com/moxiecode/plupload/commit/d12175d4b5fa799b994ee1bb17bfbeec55b386fb · Correção
• https://github.com/moxiecode/plupload/blob/master/js/jquery.plupload.queue/jquery.plupload.queue.js%23L226 · Nota
• https://snyk.io/vuln/SNYK-JS-PLUPLOAD-1583909 · Correção
• https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARS-2306665 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-23562 · Nota de Segurança
• https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSBOWER-2306663 · Correção
• https://osv.dev/vulnerability/GHSA-rp2c-jrgp-cvr8 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-23562 · Aviso do Fabricante
• https://t.me/cibsecurity/33340 · Publicação no Telegram
• https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSBOWERGITHUBMOXIECODE-2306664 · Correção
• https://osv.dev/vulnerability/CVE-2021-23562 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-23562 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-23562 · Nota de Segurança