PT-2021-15544 · Unknown · Pekeupload

Michele Di Stefano · Publicado 2021-11-22 · Atualizado 2021-12-02 · CVE-2021-23673

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

pekeupload (versões afetadas não especificadas)

Descrição

A vulnerabilidade permite que um invasor execute código JavaScript caso um usuário seja induzido a fazer o upload de um arquivo cujo nome contenha esse código. Isso é possível ao explorar a funcionalidade de upload de arquivos, na qual o nome do arquivo não é devidamente sanitizado, permitindo a execução do código JavaScript contido no nome do arquivo.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-23673

GHSA-89Q5-MJ78-PW5W

SNYK-JS-PEKEUPLOAD-1584360

Produtos afetados

Pekeupload

Referências · 7

• 🔥 https://snyk.io/vuln/SNYK-JS-PEKEUPLOAD-1584360 · Exploit
• https://github.com/moxiecode/plupload · Nota
• https://github.com/moxiecode/plupload/blob/120cc0b5dd3373d7181fd11b06ac2557c890d3f0/js/jquery.plupload.queue/jquery.plupload.queue.js%23L226 · Nota
• https://osv.dev/vulnerability/CVE-2021-23673 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-23673 · Nota de Segurança
• https://t.me/cibsecurity/32805 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-89q5-mj78-pw5w · Aviso do Fabricante