PT-2021-21872 · Unknown · Filebrowser

Omriinbar · Publicado 2021-08-31 · Atualizado 2021-12-08 · CVE-2021-37794

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Versões do FileBrowser anteriores à 2.16.0

Descrição:

Existe uma vulnerabilidade de script entre sites (XSS) armazenada que permite que um usuário autenticado faça o upload de um arquivo .svg malicioso, que atua como uma carga útil de XSS armazenada. Se acionada por um administrador, essa carga útil pode executar comandos maliciosos do sistema operacional no servidor que executa a instância do FileBrowser.

Recomendações:

Para versões anteriores à 2.16.0, atualize para a versão 2.16.0 ou posterior para resolver o problema. Como solução temporária, considere restringir a capacidade de enviar arquivos .svg ou desativar o recurso de envio para usuários autenticados até que um patch seja aplicado. Restrinja o acesso à instância do FileBrowser para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-37794

Produtos afetados

Filebrowser

Referências · 8

• https://github.com/filebrowser/filebrowser · Nota
• https://github.com/filebrowser/filebrowser/commit/201329abce4e92ae9071b9ded81e267aae159fbd · Correção
• https://t.me/cibsecurity/28132 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-37794 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-37794 · Aviso do Fabricante
• https://t.me/poxek/222 · Publicação no Telegram
• https://gist.github.com/omriinbar/1e28649f31d795b0e9b7698a9d255b5c · Nota
• https://t.me/securixy_kz/666 · Publicação no Telegram