PT-2022-10745 · Zulip · Zulip

Abdul Muhaimin · Publicado 2022-01-20 · Atualizado 2022-02-03 · CVE-2021-3866

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:H/PR:H/UI:R/S:C/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

zulip/zulip, versões 44f935695d452cc3fb16845a0c6af710438b153d a 3eb2791c3e9695f7d37ffe84e0c2184fae665cb6

Descrição

O problema está relacionado a Cross-site Scripting (XSS) - Stored, que afeta o repositório GitHub zulip/zulip. Esse tipo de ataque ocorre quando um aplicativo armazena entradas do usuário que contêm scripts maliciosos, os quais são então executados pelo aplicativo, permitindo que um invasor realize ações não autorizadas.

Recomendações

Para as versões 44f935695d452cc3fb16845a0c6af710438b153d a 3eb2791c3e9695f7d37ffe84e0c2184fae665cb6, atualize para uma versão posterior a 3eb2791c3e9695f7d37ffe84e0c2184fae665cb6 para resolver o problema.

Como solução alternativa temporária, considere restringir a entrada de dados do usuário para impedir o armazenamento de scripts maliciosos até que um patch esteja disponível.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-3866

Produtos afetados

Zulip

Referências · 8

• 🔥 https://huntr.dev/bounties/5f48dac5-e112-4b23-bbbf-cc00ba83bcf2 · Exploit
• https://github.com/zulip/zulip/commit/3eb2791c3e9695f7d37ffe84e0c2184fae665cb6 · Correção
• https://t.me/cvenotify/26019 · Publicação no Telegram
• https://t.me/cibsecurity/35914 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-3866 · Nota de Segurança
• https://t.me/cvenotify/25714 · Publicação no Telegram
• https://blog.zulip.com/2022/01/19/cve-2021-3866 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-3866 · Aviso do Fabricante