PT-2021-6454 · Xmldom+1 · Xmldom+1

Karfau · Publicado 2021-07-10 · Atualizado 2022-04-25 · CVE-2021-32796

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

xmldom versões 0.6.0 e anteriores

Descrição

O problema está relacionado à filtragem incorreta de caracteres especiais na implementação do XML DOM. Isso pode levar a alterações sintáticas inesperadas durante o processamento de XML em alguns aplicativos downstream. O problema foi resolvido na versão 0.7.0. Como solução alternativa, os aplicativos downstream podem validar a entrada e rejeitar documentos criados com intenção maliciosa.

Recomendações

Para as versões 0.6.0 e anteriores, atualize para a versão 0.7.0 ou mais recente para resolver o problema.

Como solução alternativa temporária, considere validar a entrada e rejeitar documentos criados com intenção maliciosa nos aplicativos downstream.

Correção

Improper Encoding or Escaping of Output

Enumeração de Fraquezas

CWE-116

CWE-91

Identificadores relacionados

BDU:2022-01661

CVE-2021-32796

GHSA-5FG8-2547-MR8Q

Produtos afetados

Debian

Xmldom

Referências · 18

• https://github.com/xmldom/xmldom · Nota
• https://github.com/xmldom/xmldom/commit/7b4b743917a892d407356e055b296dcd6d107e8b · Correção
• https://github.com/xmldom/xmldom/security/advisories/GHSA-5fg8-2547-mr8q · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-32796 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2021-32796 · Nota de Segurança
• https://t.me/cibsecurity/26549 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-01661 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-32796 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-5fg8-2547-mr8q · Aviso do Fabricante
• https://t.me/cvenotify/18211 · Publicação no Telegram
• https://mattermost.com/blog/coordinated-disclosure-go-xml-vulnerabilities · Nota
• https://osv.dev/vulnerability/CVE-2021-32796 · Aviso do Fabricante
• https://mattermost.com/blog/securing-xml-implementations-across-the-web · Nota
• https://npmjs.com/package/@xmldom/xmldom · Nota
• https://ubuntu.com/security/CVE-2021-32796 · Aviso do Fabricante