PT-2021-16910 · Hexo · Hexo

Publicado 2021-11-30 · Atualizado 2021-12-01 · CVE-2021-25987

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Hexo de 0.0.1 a 5.4.0

Descrição

A vulnerabilidade diz respeito a um ataque XSS armazenado, no qual os campos body e tags da postagem não sanitizam adequadamente o JavaScript malicioso durante a geração da página web. Isso permite que um invasor local sem privilégios injete código arbitrário.

Recomendações

Para as versões do Hexo 0.0.1 a 5.4.0, como solução temporária, considere desativar a geração de páginas da web que incluam conteúdo fornecido pelo usuário nos parâmetros body e tags até que um patch esteja disponível. Restrinja o acesso à funcionalidade de geração de páginas da web para minimizar o risco de exploração. Evite usar os parâmetros body e tags no processo de geração de páginas da web afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-25987

GHSA-Q54R-R9PR-W7QV

Produtos afetados

Hexo

Referências · 9

• https://github.com/hexojs/hexo · Nota
• https://github.com/hexojs/hexo/pull/4750 · Nota
• https://github.com/hexojs/hexo/issues/4838 · Nota
• https://github.com/hexojs/hexo/commit/5170df2d3fa9c69e855c4b7c2b084ebfd92d5200 · Correção
• https://osv.dev/vulnerability/GHSA-q54r-r9pr-w7qv · Aviso do Fabricante
• https://whitesourcesoftware.com/vulnerability-database/CVE-2021-25987 · Nota
• https://osv.dev/vulnerability/CVE-2021-25987 · Aviso do Fabricante
• https://t.me/cibsecurity/33090 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-25987 · Nota de Segurança