PT-2021-23216 · Kirby · Kirby

Azrul Ikhwan Zulkifli + 1 · Publicado 2021-11-16 · Atualizado 2021-11-18 · CVE-2021-41252

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Kirby anteriores à 3.5.8

Descrição

O problema diz respeito ao campo “writer” no Kirby, que armazena conteúdo formatado como código HTML e não escapa caracteres especiais de HTML contra ataques de cross-site scripting (XSS). Isso permite que código HTML malicioso seja injetado no arquivo de conteúdo e executado nos navegadores dos visitantes do site e dos usuários conectados. A vulnerabilidade pode ser explorada por invasores que fazem parte do grupo de usuários autenticados do Painel, podendo levar à escalada de privilégios caso obtenham acesso à sessão de um usuário administrador no Painel. O número estimado de dispositivos potencialmente afetados não foi especificado.

Recomendações

Para versões anteriores à 3.5.8, atualize para o Kirby 3.5.8 ou uma versão posterior para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso ao campo de edição para usuários autenticados do Painel, a fim de minimizar o risco de exploração. Se possível, evite usar o campo de edição até que o problema seja resolvido.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-41252

GHSA-X7J7-QP7J-HW3Q

Produtos afetados

Kirby

Referências · 7

• https://github.com/getkirby/kirby · Nota
• https://github.com/getkirby/kirby/security/advisories/GHSA-x7j7-qp7j-hw3q · Nota
• https://github.com/getkirby/kirby/releases/tag/3.5.8 · Nota
• https://github.com/getkirby/kirby/commit/25fc5c6b330442e6433c99befc688f3698c5d1fc · Correção
• https://osv.dev/vulnerability/CVE-2021-41252 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41252 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-x7j7-qp7j-hw3q · Aviso do Fabricante