PT-2021-18780 · Htmly · Htmly

G0H3Aler · Publicado 2021-04-13 · Atualizado 2021-04-16 · CVE-2021-30637

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

htmly versão 2.8.0

Descrição

A vulnerabilidade permite um ataque XSS armazenado (stored XSS) por meio do título do blog, do slogan ou da descrição no arquivo config.html.php. Isso pode ser explorado para injetar scripts maliciosos na aplicação.

Recomendações

Para a versão 2.8.0 do htmly, como solução temporária, considere validar e sanitizar as entradas do usuário nos campos título do blog, slogan e descrição para prevenir ataques XSS. Restrinja o acesso ao arquivo config.html.php para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-30637

Produtos afetados

Htmly

Referências · 7

• 🔥 https://github.com/danpros/htmly/issues/456 · Exploit
• 🔥 https://exploit-db.com/exploits/49772 · Exploit
• 🔥 http://packetstormsecurity.com/files/162195/htmly-2.8.0-Cross-Site-Scripting.html · Exploit
• https://t.me/cvenotify/13388 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-30637 · Aviso do Fabricante
• https://t.me/cvenotify/13145 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-30637 · Nota de Segurança