PT-2021-24347 · Modelina · Modelina
Jonaslagoni
·
Publicado
2021-09-21
·
Atualizado
2023-02-06
·
CVE-2023-23619
CVSS v3.1
9.9
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
Versões do Modelina anteriores à 1.0.0
Descrição:
O Modelina é uma biblioteca para gerar modelos de dados com base em entradas como documentos AsyncAPI, OpenAPI ou JSON Schema. Esta vulnerabilidade afeta qualquer pessoa que utilize as predefinições padrão e/ou não controle pessoalmente essa funcionalidade. O Alerta de Segurança do GitHub do mantenedor observa que é impossível proteger-se totalmente contra este problema, pois os usuários têm acesso às informações brutas originais. No entanto, a partir da versão 1, se você acessar apenas os modelos restritos, não encontrará este problema. Outras situações semelhantes não são consideradas um problema de segurança, mas sim um comportamento intencional.
Recomendações:
Para versões anteriores à 1.0.0, considere usar predefinições totalmente personalizadas que alterem todo o processo de renderização, o que permite escapar da entrada do usuário. A partir da versão 1.0.0, se você acessar apenas os modelos restritos, não encontrará esse problema.
Exploit
Correção
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Modelina