PT-2021-19895 · Kirby Cms · Kirby Cms

Hdodov · Publicado 2021-07-02 · Atualizado 2021-07-06 · CVE-2021-32735

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 3.5.5 a 3.5.6 do Kirby CMS

Descrição

O Kirby é um sistema de gerenciamento de conteúdo. O componente ListItem do Painel exibia HTML nos títulos das páginas tal como estava, o que poderia ser usado para ataques de cross-site scripting (XSS). Usuários mal-intencionados autenticados no Painel podem escalar seus privilégios se obtiverem acesso à sessão do Painel de um usuário administrador. Visitantes sem acesso ao Painel podem usar o vetor de ataque se o site permitir a alteração de dados do site a partir de um formulário front-end.

Recomendações

Para as versões 3.5.5 e 3.5.6, atualize para o Kirby 3.5.7 para corrigir a vulnerabilidade.

Como solução alternativa parcial, os administradores do site podem se proteger contra ataques de visitantes sem acesso ao Painel, validando ou sanitizando os dados fornecidos pelo formulário front-end.

Correção

XSS

Enumeração de Fraquezas

CWE-79

CWE-80

Identificadores relacionados

CVE-2021-32735

GHSA-2F2W-349X-VRQM

Produtos afetados

Kirby Cms

Referências · 9

• https://github.com/getkirby/kirby · Nota
• https://github.com/getkirby/kirby/security/advisories/GHSA-2f2w-349x-vrqm · Correção
• https://github.com/getkirby/kirby/releases/tag/3.5.7 · Correção
• https://github.com/getkirby/kirby/commit/f5ead62f8510158bed5baf58ca0e851875778a09 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-32735 · Nota de Segurança
• https://t.me/cvenotify/17173 · Publicação no Telegram
• https://t.me/cibsecurity/25897 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-2f2w-349x-vrqm · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-32735 · Aviso do Fabricante