PT-2021-23491 · Gunicorn+1 · Unicorn+1

Publicado 2021-10-07 · Atualizado 2021-10-14 · CVE-2021-42053

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do framework Unicorn até a 0.35.3 para Django

Descrição

A vulnerabilidade permite ataques XSS por meio do component.name. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados em todo o mundo, nem detalhes sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

Recomendações

Para versões até 0.35.3, atualize para uma versão que corrija a vulnerabilidade XSS via component.name.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-42053

GHSA-C87F-FQ5G-63R2

PYSEC-2021-357

Produtos afetados

Django

Unicorn

Referências · 20

• 🔥 http://packetstormsecurity.com/files/164442/django-unicorn-0.35.3-Cross-Site-Scripting.html · Exploit
• 🔥 https://exploit-db.com/exploits/50393 · Exploit
• https://github.com/adamghill/django-unicorn/compare/0.35.3...0.36.0 · Correção
• https://github.com/adamghill/django-unicorn/pull/288/files · Correção
• https://github.com/adamghill/django-unicorn · Nota
• https://github.com/adamghill/django-unicorn/pull/288 · Nota
• https://github.com/adamghill/django-unicorn/commit/aa5b9835d946bd9893ef02e556859e3ea62cc5e2 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/django-unicorn/PYSEC-2021-357.yaml · Nota
• https://t.me/cvenotify/22236 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-c87f-fq5g-63r2 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-42053 · Nota de Segurança
• https://t.me/cvenotify/22176 · Publicação no Telegram
• https://t.me/cvenotify/22235 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2021-357 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-42053 · Aviso do Fabricante