PT-2022-13497 · Showdoc · Showdoc

Publicado 2022-03-12 · Atualizado 2022-03-18 · CVE-2022-0880

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do ShowDoc anteriores à 2.10.2

ShowDoc versão 2.10.3 e anteriores

Descrição

O problema está relacionado a um Cross-site Scripting (XSS) armazenado no repositório GitHub star7th/showdoc. Esse tipo de ataque ocorre quando um aplicativo armazena entradas do usuário que contêm scripts maliciosos, os quais são então executados pelo aplicativo, permitindo que um invasor realize ações não autorizadas.

Recomendações

Para versões do ShowDoc anteriores à 2.10.2, atualize para a versão 2.10.2 ou posterior.

Para a versão 2.10.3 e anteriores do ShowDoc, um patch está disponível e deve fazer parte da versão 2.10.4; portanto, atualize para a versão 2.10.4 quando estiver disponível.

Como solução alternativa temporária, considere restringir as entradas do usuário para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-0880

GHSA-GQ77-3R6X-383W

Produtos afetados

Showdoc

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/0xxx/CVE-2022-0880.json · Exploit
• 🔥 https://huntr.dev/bounties/df347aa9-ed9b-4f75-af99-c83b8aad3bcf · Exploit
• https://github.com/star7th/showdoc · Nota
• https://github.com/star7th/showdoc/commit/818d7fe731f452acccacf731ce47ec27ad68049c · Correção
• https://t.me/cvenotify/28174 · Publicação no Telegram
• https://t.me/cvenotify/28161 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-0880 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-0880 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-gq77-3r6x-383w · Aviso do Fabricante
• https://t.me/cibsecurity/38837 · Publicação no Telegram