PT-2021-23145 · Unknown · Neoan3-Apps/Template
Roehrl
·
Publicado
2021-11-08
·
Atualizado
2021-11-17
·
CVE-2021-41170
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do neoan3-apps/template anteriores à 1.1.1
Descrição
O problema decorre da permissão para que closures sejam passados diretamente para o mecanismo de modelos, o que permite a execução de valores que são chamáveis. Isso pode levar a uma execução indesejada ou maliciosa se um valor tiver o mesmo nome que um método ou função no escopo. Todos os usuários do pacote estão potencialmente afetados, especialmente aqueles que lidam com entradas diretas do usuário ou valores de banco de dados, tornando plausível um ataque em várias etapas.
Recomendações
Para versões anteriores à 1.1.1, a única abordagem segura é trabalhar com valores codificados, embora isso possa contrariar o objetivo de usar um mecanismo de modelos. Portanto, recomenda-se atualizar para a versão 1.1.1 ou posterior para corrigir essa vulnerabilidade. Como solução temporária, considere evitar o uso de closures no mecanismo de modelos até que o problema seja resolvido.
Correção
Special Elements Injection
Incorrect Permission
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Neoan3-Apps/Template