PT-2021-23116 · Omero.Web+2 · Omero.Web+2

Lachlan Horsey · Publicado 2021-10-14 · Atualizado 2021-10-20 · CVE-2021-41132

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do OMERO.web anteriores à 5.11.0

Versões do OMERO.figure anteriores à 4.4.1

Descrição

O problema decorre da falta de sanitização adequada por meio do escape de HTML em vários modelos, combinada com o uso de jQuery.html(). Isso leva a possíveis vulnerabilidades de cross-site scripting quando entradas especialmente criadas são inseridas em diferentes campos.

Recomendações

Para versões do OMERO.web anteriores à 5.11.0, atualize para a versão 5.11.0 ou superior.

Para versões do OMERO.figure anteriores à 4.4.1, atualize para a versão 4.4.1 ou superior.

Correção

XSS

Improper Encoding or Escaping of Output

Enumeração de Fraquezas

CWE-79

CWE-116

Identificadores relacionados

CVE-2021-41132

GHSA-G67G-HVC3-XMVF

PYSEC-2021-372

PYSEC-2021-379

Produtos afetados

Omero.Figure

Omero.Web

Jquery

Referências · 12

• https://github.com/pypa/advisory-database/tree/main/vulns/omero-web/PYSEC-2021-372.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/omero-figure/PYSEC-2021-379.yaml · Nota
• https://github.com/ome/omero-web/security/advisories/GHSA-g67g-hvc3-xmvf · Nota
• https://github.com/ome/omero-web/commit/0168067accde5e635341b3c714b1d53ae92ba424 · Correção
• https://github.com/ome/omero-web · Nota
• https://osv.dev/vulnerability/CVE-2021-41132 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-g67g-hvc3-xmvf · Aviso do Fabricante
• https://openmicroscopy.org/security/advisories/2021-SV3 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41132 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2021-379 · Aviso do Fabricante
• https://t.me/cibsecurity/30580 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2021-372 · Aviso do Fabricante