PT-2021-20912 · Smashing · Smashing

Gebhardtr · Publicado 2021-07-06 · Atualizado 2022-05-24 · CVE-2021-35440

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Smashing versão 1.3.4

Descrição:

A vulnerabilidade permite que um invasor crie uma URL para um widget capaz de executar JavaScript no computador da vítima, podendo roubar dados disponíveis na sessão ou em cookies, especialmente em ambientes onde URLs internas são reutilizadas ou os cookies possuem configurações permissivas.

Recomendações:

Para o Smashing versão 1.3.4, considere desativar a execução de código JavaScript a partir de URLs de widgets criados como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a dados confidenciais da sessão e cookies para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-35440

GHSA-254J-MMC5-QHPX

Produtos afetados

Smashing

Referências · 12

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/smashing/CVE-2021-35440.yml · Exploit
• https://github.com/Smashing/smashing/pull/186 · Correção
• https://github.com/Smashing/smashing/blob/ad7325f159f89854ca4e7d94e7be9bee507b6d46/CHANGELOG.md · Nota
• https://github.com/Smashing/smashing/pull/186#issuecomment-871727614 · Correção
• https://github.com/Smashing/smashing/pull/186/commits/f4648137ae77aa2a9ccd14b2e6eeaed2cfb32da3 · Nota
• https://github.com/Smashing/smashing · Nota
• https://osv.dev/vulnerability/GHSA-254j-mmc5-qhpx · Aviso do Fabricante
• https://t.me/cvenotify/17138 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-35440 · Nota de Segurança
• https://t.me/cvenotify/17206 · Publicação no Telegram
• https://t.me/cvenotify/17151 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-35440 · Aviso do Fabricante