PT-2021-24028 · Uipath · Uipath Assistant

Publicado 2021-12-14 · Atualizado 2022-07-12 · CVE-2021-44042

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

UiPath Assistant versão 21.4.4

Descrição:

Foi detectada uma falha em que os dados controlados pelo usuário fornecidos ao argumento --process-start do manipulador de URI para “uipath-assistant://” não são codificados corretamente. Isso faz com que conteúdo controlado pelo invasor seja injetado na mensagem de erro exibida quando o conteúdo injetado não corresponde a um processo existente. Um invasor determinado poderia aproveitar isso para executar JavaScript no contexto do aplicativo Electron.

Recomendações:

Para o UiPath Assistant versão 21.4.4, considere desativar o manipulador de URI para “uipath-assistant://” como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao argumento --process-start para minimizar o risco de exploração. Evite usar o argumento --process-start no manipulador de URI afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Encoding or Escaping of Output

Enumeração de Fraquezas

CWE-116

Identificadores relacionados

CVE-2021-44042

Produtos afetados

Uipath Assistant

Referências · 5

• https://nvd.nist.gov/vuln/detail/CVE-2021-44042 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-44042 · Aviso do Fabricante
• https://docs.uipath.com/robot/docs/release-notes-2021-10-4 · Aviso do Fabricante
• https://t.me/cibsecurity/33958 · Publicação no Telegram
• https://docs.uipath.com/robot/docs/uipath-assistant · Nota