PT-2022-15046 · Unknown+1 · Onionshare+1

Micahflee · Publicado 2022-01-18 · Atualizado 2024-06-15 · CVE-2022-21694

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

OnionShare (versões afetadas não especificadas)

Descrição

O modo de site do OnionShare permite o uso de uma Política de Segurança de Conteúdo (CSP) reforçada, que bloqueia scripts e recursos externos. No entanto, essa CSP não pode ser configurada para páginas individuais, tornando-a inutilizável para sites que exigem JavaScript ou recursos externos, como fontes ou imagens. Essa questão é considerada uma fraqueza geral, e não uma vulnerabilidade direta, com baixo nível de ameaça.

Recomendações

• Considere oferecer uma opção de servidor web configurável
• Considere uma CSP configurável

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Incorrect Permission

Enumeração de Fraquezas

CWE-732

Identificadores relacionados

CVE-2022-21694

GHSA-H29C-WCM8-883H

OPENSUSE-SU-2024:11983-1

OPENSUSE-SU-2024:13635-1

PYSEC-2022-45

Produtos afetados

Debian

Onionshare

Referências · 30

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21694.json · Exploit
• https://github.com/onionshare/onionshare/releases/tag/v2.5 · Nota
• https://github.com/onionshare/onionshare/security/advisories/GHSA-h29c-wcm8-883h · Nota
• https://github.com/onionshare/onionshare/issues/1389 · Nota
• https://github.com/onionshare/onionshare · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/onionshare-cli/PYSEC-2022-45.yaml · Nota
• https://t.me/cibsecurity/35762 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2022-21694 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2022-21688 · Nota
• https://osv.dev/vulnerability/CVE-2022-21694 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2022-21690 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2024:13635-1 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2022-21696 · Nota
• https://suse.com/security/cve/CVE-2022-21693 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-21694 · Aviso do Fabricante