PT-2021-23111 · Hygeia · Hygeia

Maennchen · Publicado 2021-10-06 · Atualizado 2021-10-14 · CVE-2021-41128

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Hygeia anteriores à 1.30.4

Descrição

O problema diz respeito a uma vulnerabilidade de injeção de CSV no recurso de exportação de CSV do aplicativo Hygeia, utilizado para coletar e processar dados pessoais e de casos relacionados a doenças transmissíveis. Essa vulnerabilidade permite que os usuários enviem fórmulas como campos exportados, que são então executados quando o arquivo exportado é importado. A falta de validação ou sanitização desses campos de fórmula permite que agentes mal-intencionados criem e executem código malicioso.

Recomendações

Para versões anteriores à 1.30.4, atualize para a versão 1.30.4 para resolver o problema.

Correção

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

CVE-2021-41128

GHSA-8PWV-JHJ2-2369

Produtos afetados

Hygeia

Referências · 7

• https://github.com/beatrichartz/csv/pull/104 · Nota
• https://github.com/beatrichartz/csv/issues/103 · Nota
• https://github.com/jshmrtn/hygeia/security/advisories/GHSA-8pwv-jhj2-2369 · Correção
• https://github.com/jshmrtn/hygeia/commit/d917f27432fe84e1c9751222ae55bae36a4dce60 · Correção
• https://osv.dev/vulnerability/CVE-2021-41128 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41128 · Nota de Segurança
• https://owasp.org/www-community/attacks/CSV_Injection · Nota