PT-2021-23239 · Sharetribe · Sharetribe Go

Wang Sheng · Publicado 2021-11-19 · Atualizado 2021-11-24 · CVE-2021-41280

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Sharetribe Go anteriores à 10.2.1

Descrição

O problema afeta o Sharetribe Go, um software de marketplace de código aberto, no qual é possível a injeção de comandos do sistema operacional em instalações que não tenham um token secreto de notificação do AWS Simple Notification Service (SNS) configurado por meio do parâmetro de configuração sns notification token. Esse parâmetro está desativado por padrão.

Recomendações

Para versões anteriores à 10.2.1, atualize para a versão 10.2.1 para resolver o problema.

Como solução alternativa temporária para usuários que não conseguem atualizar, defina o parâmetro de configuração sns notification token com um valor secreto.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2021-41280

GHSA-HJJC-P9HR-424C

Produtos afetados

Sharetribe Go

Referências · 7

• https://github.com/sharetribe/sharetribe/security/advisories/GHSA-hjjc-p9hr-424c · Nota
• https://github.com/sharetribe/sharetribe/releases/tag/v10.2.1 · Nota
• https://github.com/sharetribe/sharetribe/commit/5b844f8108c5458d89f0d7ba974f42d7917b5f80 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-41280 · Nota de Segurança
• https://t.me/cibsecurity/32730 · Publicação no Telegram
• https://t.me/cvenotify/23516 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-41280 · Aviso do Fabricante