PT-2022-11516 · Unknown · Zenario Cms

Hieuminhnv · Publicado 2022-03-14 · Atualizado 2022-03-21 · CVE-2021-41952

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Zenario CMS versão 9.0.54156

Descrição

A vulnerabilidade permite ataques de Cross Site Scripting (XSS) por meio do upload de arquivos maliciosos com extensão *.SVG. Um invasor pode explorar essa vulnerabilidade enviando esses arquivos maliciosos às vítimas, podendo roubar seus cookies e levar à apropriação de contas. A pessoa que visualiza a imagem de um contato pode ser vítima de XSS.

Recomendações

Para o Zenario CMS versão 9.0.54156, considere desativar o upload de arquivos *.SVG até que uma correção esteja disponível para impedir a exploração dessa vulnerabilidade. Restrinja o acesso ao recurso de visualização de imagens para contatos a fim de minimizar o risco de exploração. Evite usar o recurso que permite o upload de arquivos, especialmente arquivos *.SVG, no endpoint da API afetado até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-41952

GHSA-X8WJ-CQMP-3WMM

Produtos afetados

Zenario Cms

Referências · 8

• 🔥 https://github.com/hieuminhnv/Zenario-CMS-9.0-last-version/issues/1 · Exploit
• https://github.com/TribalSystems/Zenario/releases/tag/9.0.55141 · Nota
• https://github.com/TribalSystems/Zenario/commit/4566d8a9ac6755f098b3373252fdb17754a77007 · Nota
• https://github.com/TribalSystems/Zenario · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-41952 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41952 · Aviso do Fabricante
• https://t.me/cibsecurity/38878 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-x8wj-cqmp-3wmm · Aviso do Fabricante