PT-2021-18157 · Unknown · Bluemonday

Ryotak · Publicado 2021-03-27 · Atualizado 2021-06-04 · CVE-2021-29272

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Versões do bluemonday anteriores à 1.0.5

Descrição:

A vulnerabilidade permite ataques XSS porque uma determinada conversão para minúsculas na linguagem Go transforma um caractere cirílico maiúsculo, contornando um mecanismo de proteção contra a string script. Isso pode contornar um mecanismo de proteção contra elementos HTML inseridos pelo usuário, como a tag script.

Recomendações:

Para versões anteriores à 1.0.5, atualize para a versão 1.0.5 ou posterior para resolver o problema. Como solução temporária, considere restringir a entrada de caracteres cirílicos ou desativar o uso da tag script até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-29272

GHSA-3X58-XR87-2FCJ

GO-2022-0762

Produtos afetados

Bluemonday

Referências · 16

• https://github.com/microcosm-cc/bluemonday/releases/tag/v1.0.5 · Nota
• https://github.com/microcosm-cc/bluemonday/issues/111 · Nota
• https://github.com/microcosm-cc/bluemonday · Nota
• https://github.com/microcosm-cc/bluemonday/commit/524f142fe46e945b7dcd291d7805c4b7dcf75bee · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-29272 · Nota de Segurança
• https://t.me/cvenotify/12166 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-3x58-xr87-2fcj · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-29272 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-29272 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-0762 · Aviso do Fabricante
• https://vuln.ryotak.me/advisories/4.txt · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-29272 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-29272 · Nota de Segurança
• https://pkg.go.dev/vuln/GO-2022-0762 · Nota
• https://vuln.ryotak.me/advisories/4 · Nota