PT-2021-18258 · Hedgedoc · Hedgedoc

Filippo Cremonese · Publicado 2021-05-19 · Atualizado 2022-04-25 · CVE-2021-29503

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

**Nome do software vulnerável e versões afetadas:

Versões do HedgeDoc anteriores à 1.8.2

Descrição:

A vulnerabilidade permite que um invasor com acesso de gravação a uma nota insira tags HTML na seção de metadados do Open Graph, fazendo com que o front-end renderize a tag de script como parte da seção head. Isso pode ser explorado por invasores não autenticados, caso edições de convidados sejam permitidas, ou por invasores autenticados que tenham acesso de gravação às notas.

Recomendações:

Para versões do HedgeDoc anteriores à 1.8.2, atualize para a versão 1.8.2 para resolver o problema. Como solução temporária, considere desativar as edições de convidados até que a atualização seja aplicada.

Correção

XSS

Enumeração de Fraquezas

CWE-80

CWE-79

Identificadores relacionados

CVE-2021-29503

GHSA-GJG7-4J2H-94FQ

Produtos afetados

Hedgedoc

Referências · 5

• https://github.com/hedgedoc/hedgedoc/releases/tag/1.8.2 · Nota
• https://github.com/hedgedoc/hedgedoc/security/advisories/GHSA-gjg7-4j2h-94fq · Correção
• https://github.com/hedgedoc/hedgedoc/commit/01dad5821ee28377ebe640c6c72c3e0bb0d51ea7 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-29503 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-29503 · Aviso do Fabricante