PT-2022-12906 · Antaris · Razorengine

G2Udevelopment + 1 · Publicado 2022-03-06 · Atualizado 2024-08-04 · CVE-2021-46703

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Antaris RazorEngine até a 4.5.1-alpha001

Descrição

Um invasor pode executar código .NET arbitrário em um ambiente isolado (sandbox) se os usuários puderem controlar externamente o conteúdo dos modelos. Esta vulnerabilidade afeta produtos que não são mais suportados pelo mantenedor.

Recomendações

Para versões até 4.5.1-alpha001, considere restringir o acesso ao componente IsolatedRazorEngine para impedir o controle externo do conteúdo dos modelos até que uma versão com suporte esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-1336

Identificadores relacionados

CVE-2021-46703

GHSA-PH3V-2HQ5-5QFQ

Produtos afetados

Razorengine

Referências · 8

• 🔥 https://github.com/Antaris/RazorEngine/issues/585 · Exploit
• https://github.com/Antaris/RazorEngine · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-46703 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-ph3v-2hq5-5qfq · Aviso do Fabricante
• https://t.me/cvenotify/27800 · Publicação no Telegram
• https://t.me/cvenotify/27808 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-46703 · Aviso do Fabricante
• https://t.me/cvenotify/88932 · Publicação no Telegram