PT-2021-9673 · Nanohttpd · Nanohttpd

Publicado 2021-02-23 · Atualizado 2021-02-26 · CVE-2020-13697

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do NanoHTTPD até a 2.3.1

Descrição

Foi descoberta uma falha no arquivo RouterNanoHTTPD.java. A classe GeneralHandler implementa um manipulador GET básico que exibe informações de depuração como uma página HTML. Qualquer servidor web que estenda essa classe sem implementar seu próprio manipulador GET está vulnerável a XSS refletido, pois o manipulador GET da GeneralHandler exibe a entrada do usuário passada pela string de consulta sem qualquer sanitização.

Recomendações

Para versões até 2.3.1, considere implementar um manipulador GET personalizado para sanitizar a entrada do usuário passada pela string de consulta ou restringir o acesso à classe GeneralHandler para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-13697

GHSA-PR5M-4W22-8483

Produtos afetados

Nanohttpd

Referências · 10

• https://github.com/NanoHttpd/nanohttpd · Nota
• https://github.com/NanoHttpd/nanohttpd/blob/efb2ebf85a2b06f7c508aba9eaad5377e3a01e81/nanolets/src/main/java/org/nanohttpd/router/RouterNanoHTTPD.java · Nota
• https://github.com/NanoHttpd/nanohttpd/blob/efb2ebf85a2b06f7c508aba9eaad5377e3a01e81/nanolets/pom.xml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-13697 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-pr5m-4w22-8483 · Aviso do Fabricante
• https://t.me/cibsecurity/23978 · Publicação no Telegram
• https://vdoo.com/advisories/#CVE-2020-13697 · Nota
• https://vdoo.com/advisories · Nota
• https://osv.dev/vulnerability/CVE-2020-13697 · Aviso do Fabricante
• https://t.me/cvenotify/10344 · Publicação no Telegram