PT-2022-13566 · Showdoc · Showdoc

Publicado 2022-03-15 · Atualizado 2022-07-21 · CVE-2022-0967

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.9

Média

Vetor base

AV:P/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do showdoc anteriores à 2.10.4

Descrição

O problema é uma vulnerabilidade de script entre sites (XSS) armazenada na página “Biblioteca de arquivos” ao fazer o upload de um arquivo no formato .ofd. O showdoc é uma ferramenta para equipes de TI compartilharem documentos online. Não há nenhuma solução alternativa conhecida no momento.

Recomendações

Para versões anteriores à 2.10.4, atualize para a versão 2.10.4 para resolver o problema. Como solução alternativa temporária, considere restringir o upload de arquivos, especialmente no formato .ofd, até que a atualização seja aplicada.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-0967

GHSA-3PG8-C473-W6RR

Produtos afetados

Showdoc

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/0xxx/CVE-2022-0967.json · Exploit
• 🔥 https://huntr.dev/bounties/9dea3c98-7609-480d-902d-149067bd1e2a · Exploit
• 🔥 http://packetstormsecurity.com/files/167198/Showdoc-2.10.3-Cross-Site-Scripting.html · Exploit
• 🔥 https://exploit-db.com/exploits/50941 · Exploit
• https://github.com/star7th/showdoc · Nota
• https://github.com/star7th/showdoc/commit/3caa32334db0c277b84e993eaca2036f5d1dbef8 · Correção
• https://t.me/cibsecurity/38944 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-0967 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-0967 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-3pg8-c473-w6rr · Aviso do Fabricante
• https://t.me/cvenotify/33520 · Publicação no Telegram