PT-2022-11429 · Silverstripe · Silverstripe/Framework

Matthew Dekker · Publicado 2022-06-28 · Atualizado 2024-03-06 · CVE-2021-41559

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Silverstripe silverstripe/framework, versões 4.8.1 a 4.10.9

Descrição

O problema está relacionado a um aumento exponencial na função Convert::xml2array(), que pode ser explorado por meio de um documento XML malicioso para permitir um ataque remoto.

Recomendações

Para as versões 4.8.1 a 4.10.9, considere desativar a função Convert::xml2array() até que um patch esteja disponível para evitar uma possível exploração.

Restrinja o acesso a documentos XML maliciosos para minimizar o risco de um ataque remoto.

Exploit

Correção

XML Entity Expansion

Enumeração de Fraquezas

CWE-776

Identificadores relacionados

BIT-SILVERSTRIPE-2021-41559

CVE-2021-41559

GHSA-9FMG-89FX-R33W

Produtos afetados

Silverstripe/Framework

Referências · 11

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/silverstripe/framework/CVE-2021-41559.yaml · Exploit
• https://github.com/silverstripe/silverstripe-framework/releases · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41559 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-silverstripe-2021-41559 · Aviso do Fabricante
• https://t.me/cvenotify/32759 · Publicação no Telegram
• https://silverstripe.org/download/security-releases · Aviso do Fabricante
• https://t.me/cibsecurity/45346 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-41559 · Aviso do Fabricante
• https://silverstripe.org/download/security-releases/cve-2021-41559 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9fmg-89fx-r33w · Aviso do Fabricante
• https://t.me/cvenotify/32331 · Publicação no Telegram