PT-2021-16883 · Opencrx · Opencrx

Publicado 2021-09-29 · Atualizado 2021-10-07 · CVE-2021-25959

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do OpenCRX de v4.0.0 a v5.1.0

Descrição

O problema está relacionado a um ataque de Cross-site Scripting (XSS) refletido, causado por parâmetros não sanitizados na funcionalidade de redefinição de senha, permitindo a execução de arquivos JavaScript externos em qualquer usuário da instância do OpenCRX.

Recomendações

Para as versões do OpenCRX v4.0.0 a v5.1.0, considere desativar a funcionalidade de redefinição de senha até que um patch esteja disponível para impedir a exploração do problema de Cross-site Scripting (XSS) refletido. Restrinja o acesso ao módulo de redefinição de senha para minimizar o risco de execução de arquivos JavaScript externos. Evite usar parâmetros não sanitizados na funcionalidade de redefinição de senha para impedir ataques XSS. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-25959

GHSA-RWH9-8XX8-4WFM

Produtos afetados

Opencrx

Referências · 9

• https://github.com/opencrx/opencrx/commit/14e75f95e5f56fbe7ee897bdf5d858788072e818 · Correção
• https://github.com/opencrx/opencrx · Nota
• https://t.me/cvenotify/22059 · Publicação no Telegram
• https://t.me/cvenotify/21636 · Publicação no Telegram
• https://whitesourcesoftware.com/vulnerability-database/CVE-2021-25959 · Nota
• https://osv.dev/vulnerability/GHSA-rwh9-8xx8-4wfm · Aviso do Fabricante
• https://t.me/cibsecurity/29645 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-25959 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-25959 · Nota de Segurança