PT-2021-18214 · Nextcloud · @Nextcloud/Dialogs

Lukas Reschke · Publicado 2021-04-13 · Atualizado 2021-04-19 · CVE-2021-29438

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.6

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

@nextcloud/dialogs versões anteriores à 3.1.2

Descrição:

O problema decorre da falta de escapamento adequado do texto inserido e passado para uma notificação pop-up na biblioteca de diálogos do Nextcloud. Isso pode levar a uma vulnerabilidade XSS caso a aplicação exiba notificações pop-up com conteúdo fornecido pelo usuário. O Nextcloud Server possui uma Política de Segurança de Conteúdo (CSP) rigorosa que mitiga o risco dessas vulnerabilidades XSS.

Recomendações:

Para versões anteriores à 3.1.2, atualize para a versão 3.1.2 para corrigir a vulnerabilidade. Se for necessário exibir HTML no toast, passe explicitamente o sinalizador de configuração options.isHTML. Como solução alternativa temporária, certifique-se de que nenhuma entrada fornecida pelo usuário seja incluída nos toasts.

Correção

XSS

Enumeração de Fraquezas

CWE-80

CWE-79

Identificadores relacionados

CVE-2021-29438

GHSA-G3FQ-3V3G-MH32

Produtos afetados

@Nextcloud/Dialogs

Referências · 6

• https://github.com/nextcloud/nextcloud-dialogs/security/advisories/GHSA-g3fq-3v3g-mh32 · Nota
• https://npmjs.com/package/%40nextcloud/dialogs · Nota
• https://osv.dev/vulnerability/CVE-2021-29438 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-29438 · Nota de Segurança
• https://npmjs.com/package/@nextcloud/dialogs · Nota
• https://osv.dev/vulnerability/GHSA-g3fq-3v3g-mh32 · Aviso do Fabricante