PT-2021-22423 · Pimcore · Pimcore

Brusch · Publicado 2021-09-01 · Atualizado 2021-09-09 · CVE-2021-39166

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Pimcore anteriores à 10.1.2

Descrição

O problema diz respeito à plataforma de código aberto de gerenciamento de dados e experiência Pimcore. Nessa plataforma, os valores de texto não eram escapados adequadamente antes de serem exibidos na visualização da versão. Isso permitia ataques de script entre sites (XSS) por usuários autenticados que tivessem acesso aos recursos.

Recomendações

Para versões do Pimcore anteriores à 10.1.2, atualize para a versão 10.1.2 para resolver o problema. Como solução temporária, considere restringir o acesso ao recurso de visualização da versão para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-39166

GHSA-W6J8-JC36-X5Q9

Produtos afetados

Pimcore

Referências · 7

• https://github.com/pimcore/pimcore · Nota
• https://github.com/pimcore/pimcore/pull/10170 · Correção
• https://github.com/pimcore/pimcore/security/advisories/GHSA-w6j8-jc36-x5q9 · Correção
• https://osv.dev/vulnerability/GHSA-w6j8-jc36-x5q9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-39166 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-39166 · Aviso do Fabricante
• https://t.me/cibsecurity/28165 · Publicação no Telegram