PT-2022-15163 · Rocket.Chat · Rocketchat Livechat

Cyberasset · Publicado 2022-04-01 · Atualizado 2022-04-08 · CVE-2022-21830

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do RocketChat LiveChat anteriores à 1.9

Descrição

Existe uma vulnerabilidade de XSS cego que poderia permitir que um invasor induzisse uma vítima a colar código malicioso em sua instância de chat. Isso poderia levar à execução de código não autorizado na instância de chat da vítima.

Recomendações

Para versões anteriores à 1.9, atualize para a versão 1.9 ou posterior para resolver a vulnerabilidade. Como solução temporária, considere restringir a capacidade dos usuários de colar código em suas instâncias de chat até que um patch seja aplicado.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-21830

GHSA-HF55-C445-2W97

Produtos afetados

Rocketchat Livechat

Referências · 8

• 🔥 https://hackerone.com/reports/1091118 · Exploit
• https://github.com/RocketChat/Rocket.Chat.Livechat/pull/558 · Nota
• https://github.com/RocketChat/Rocket.Chat.Livechat · Nota
• https://github.com/RocketChat/Rocket.Chat.Livechat/releases/tag/v1.9.0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-21830 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-21830 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-hf55-c445-2w97 · Aviso do Fabricante
• https://t.me/cibsecurity/40043 · Publicação no Telegram