PT-2022-15252 · Teedy · Teedy
Publicado
2022-01-10
·
Atualizado
2022-01-21
·
CVE-2022-22115
CVSS v3.1
9.0
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Teedy v1.5 a v1.9
Descrição
O problema está relacionado a um ataque de Cross-Site Scripting (XSS) armazenado no nome de uma tag criada. Como o nome da tag não é sanitizado adequadamente na página de edição de tags, um invasor com privilégios limitados pode armazenar scripts maliciosos no nome da tag. Na pior das hipóteses, a vítima que acidentalmente desencadeia o ataque é um administrador com privilégios elevados. Os scripts injetados podem extrair o ID da sessão, o que pode levar à apropriação total da conta do administrador e à escalada de privilégios.
Recomendações
Para as versões v1.5 a v1.9, considere desativar a funcionalidade de edição de tags até que um patch esteja disponível para impedir a exploração da vulnerabilidade de Stored Cross-Site Scripting (XSS). Restrinja o acesso à página de edição de tags para minimizar o risco de exploração. Evite usar o campo de nome da tag na página de edição de tags até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Teedy