PT-2021-4175 · Etherpad · Etherpad

Rhansen + 1 · Publicado 2021-04-06 · Atualizado 2021-07-27 · CVE-2021-34817

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Etherpad versão 1.8.13

Descrição

Uma vulnerabilidade de Cross-Site Scripting (XSS) no componente de chat do Etherpad permite que invasores remotos injetem código JavaScript ou HTML arbitrário ao importar um bloco (pad) malicioso. Isso ocorre devido à falta de proteção na estrutura da página da web, permitindo que um invasor remoto execute código JavaScript ou HTML arbitrário.

Recomendações

Para a versão 1.8.13 do Etherpad, considere desativar o componente de chat até que um patch esteja disponível para impedir a injeção de código JavaScript ou HTML arbitrário. Restrinja o acesso à funcionalidade de chat para minimizar o risco de exploração. Evite importar pads criados especificamente para o componente de chat até que a vulnerabilidade seja resolvida.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2021-04770

CVE-2021-34817

Produtos afetados

Etherpad

Referências · 10

• 🔥 https://github.com/ether/etherpad-lite/commit/a7968115581e20ef47a533e030f59f830486bdfa · Exploit
• https://github.com/ether/etherpad-lite/releases/tag/1.8.14 · Correção
• https://bdu.fstec.ru/vul/2021-04770 · Nota de Segurança
• https://t.me/cibsecurity/26253 · Publicação no Telegram
• https://blog.sonarsource.com/etherpad-code-execution-vulnerabilities · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-34817 · Nota de Segurança
• https://t.me/cvenotify/18199 · Publicação no Telegram
• https://t.me/cvenotify/17833 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-34817 · Aviso do Fabricante
• https://etherpad.org/#download · Aviso do Fabricante