PT-2022-14945 · Csv+ · Csv+

Satoki Tsuji · Publicado 2022-02-08 · Atualizado 2022-02-14 · CVE-2022-21241

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do CSV+ anteriores à 0.8.1

Descrição

Uma vulnerabilidade de cross-site scripting permite que um invasor remoto não autenticado injete um script arbitrário ou um comando arbitrário do sistema operacional por meio de um arquivo CSV especialmente criado que contenha uma tag HTML a.

Recomendações

Para versões anteriores à 0.8.1, atualize para a versão 0.8.1 ou posterior para resolver o problema. Como solução temporária, considere restringir a importação de arquivos CSV de fontes não confiáveis para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-21241

Produtos afetados

Csv+

Referências · 9

• 🔥 https://github.com/satoki/csv-plus_vulnerability · Exploit
• https://github.com/plusone-masaki/csv-plus/releases/tag/v0.8.1 · Nota
• https://osv.dev/vulnerability/CVE-2022-21241 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21241 · Nota de Segurança
• https://t.me/cybersecuritytechnologies/5380 · Publicação no Telegram
• https://t.me/cvenotify/26437 · Publicação no Telegram
• https://t.me/cvenotify/26427 · Publicação no Telegram
• https://jvn.jp/en/jp/JVN67396225/index.html · Nota
• https://t.me/cibsecurity/36988 · Publicação no Telegram