PT-2021-16891 · Ckan · Ckan

Publicado 2021-12-01 · Atualizado 2021-12-03 · CVE-2021-25967

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 2.9.0 a 2.9.3 do CKAN

Descrição

A vulnerabilidade permite que usuários de aplicativos com privilégios limitados armazenem scripts maliciosos em suas fotos de perfil por meio do upload de arquivos SVG. Esses scripts são executados no navegador da vítima quando ela abre a foto de perfil maliciosa.

Recomendações

Para as versões 2.9.0 a 2.9.3 do CKAN, considere desativar o recurso de upload de arquivos SVG para fotos de perfil dos usuários até que uma correção esteja disponível. Restrinja o acesso às fotos de perfil para minimizar o risco de exploração. Evite usar o recurso de foto de perfil nas versões afetadas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-25967

GHSA-6W9P-88QG-P3G3

PYSEC-2021-841

Produtos afetados

Ckan

Referências · 12

• https://github.com/ckan/ckan · Nota
• https://github.com/ckan/ckan/commit/5a46989c0a4f2c2873ca182c196da83b82babd25 · Nota
• https://github.com/ckan/ckan/pull/6477 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/ckan/PYSEC-2021-841.yaml · Nota
• https://osv.dev/vulnerability/PYSEC-2021-841 · Aviso do Fabricante
• https://t.me/cibsecurity/33196 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-25967 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-6w9p-88qg-p3g3 · Aviso do Fabricante
• https://github.com/advisories/GHSA-6w9p-88qg-p3g3 · Nota
• https://whitesourcesoftware.com/vulnerability-database/CVE-2021-25967 · Correção
• https://t.me/cvenotify/24122 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-25967 · Aviso do Fabricante