PT-2021-23078 · Jsuites · Jsuites

Bananabr + 2 · Publicado 2021-09-21 · Atualizado 2021-09-29 · CVE-2021-41086

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do jsuites anteriores à 4.9.11

Descrição

A vulnerabilidade permite ataques de script entre sites (XSS) por meio do conteúdo da área de transferência. Se um usuário for induzido a copiar conteúdo malicioso e colá-lo no editor HTML, parte do conteúdo da área de transferência é gravada diretamente no innerHTML, causando um ataque XSS. Isso permite a injeção de JavaScript.

Recomendações

Para versões anteriores à 4.9.11, atualize para a versão 4.9.11 para resolver o problema. Como solução temporária, considere restringir o uso do editor HTML até que a atualização seja aplicada. Evite colar conteúdo arbitrário de fontes não confiáveis no editor HTML para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-41086

GHSA-QH7X-J4V8-QW5W

Produtos afetados

Jsuites

Referências · 9

• https://github.com/jsuites/jsuites/commit/d47a6f4e143188dde2742f4cffd313e1068ad3b3 · Correção
• https://github.com/jsuites/jsuites/commit/fe1d3cc5e339f2f4da8ed1f9f42271fdf9cbd8d2 · Correção
• https://github.com/jsuites/jsuites/security/advisories/GHSA-qh7x-j4v8-qw5w · Nota
• https://github.com/jsuites/jsuites · Nota
• https://osv.dev/vulnerability/CVE-2021-41086 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qh7x-j4v8-qw5w · Aviso do Fabricante
• https://npmjs.com/package/jsuites · Nota
• https://t.me/cibsecurity/29208 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-41086 · Nota de Segurança