PT-2021-18033 · Bitweaver · Bitweaver

Publicado 2021-03-24 · Atualizado 2021-03-24 · CVE-2021-29029

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Bitweaver versão 3.1.0

Descrição:

Uma vulnerabilidade de script entre sites (XSS) permite que invasores remotos injetem JavaScript através do endpoint da API “/users/edit personal page.php”. Isso permite que os invasores executem scripts maliciosos no lado do cliente.

Recomendações:

Para o Bitweaver versão 3.1.0, como solução temporária, considere restringir o acesso ao endpoint da API “/users/edit personal page.php” até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-29029

Produtos afetados

Bitweaver

Referências · 4

• 🔥 https://github.com/xoffense/POC/blob/main/Multiple%20URI%20Based%20XSS%20in%20Bitweaver%203.1.0.md · Exploit
• https://t.me/cvenotify/11852 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-29029 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-29029 · Aviso do Fabricante