PT-2021-22443 · Unknown · Globalnewfiles

Majavah · Publicado 2021-09-01 · Atualizado 2021-09-10 · CVE-2021-39186

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do GlobalNewFiles anteriores ao commit cee254e1b158cdb0ddbea716b1d3edc31fa4fb5d

Descrição

A página especial GlobalNewFiles está vulnerável a um XSS armazenado devido à falta de validação adequada de entradas na coluna de nome de usuário. Essa vulnerabilidade pode ser explorada pela inserção de código HTML ou JavaScript malicioso nos nomes de conta. Como solução alternativa, proibir o uso de certos caracteres, como < e >, nos nomes de conta pode impedir o XSS.

Recomendações

Para versões anteriores ao commit cee254e1b158cdb0ddbea716b1d3edc31fa4fb5d, atualize para uma versão que inclua o patch do commit cee254e1b158cdb0ddbea716b1d3edc31fa4fb5d para resolver o problema.

Como solução alternativa temporária, considere proibir o uso de <, > (ou outros caracteres necessários para inserir html/js) em nomes de contas para evitar o XSS.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2021-39186

GHSA-57P5-HQJQ-H7VG

Produtos afetados

Globalnewfiles

Referências · 6

• 🔥 https://phabricator.miraheze.org/T7935 · Exploit
• https://github.com/miraheze/GlobalNewFiles/commit/cee254e1b158cdb0ddbea716b1d3edc31fa4fb5d · Correção
• https://github.com/miraheze/GlobalNewFiles/security/advisories/GHSA-57p5-hqjq-h7vg · Nota
• https://t.me/cibsecurity/28195 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-39186 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-39186 · Aviso do Fabricante