PT-2022-15253 · Directus · Directus

Publicado 2022-01-10 · Atualizado 2022-01-14 · CVE-2022-22116

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Directus 9.0.0-alpha.4 a 9.4.1

Descrição

O problema está relacionado a uma vulnerabilidade de Cross-Site Scripting (XSS) armazenada por meio do upload de arquivos SVG na funcionalidade de upload de mídia. Um invasor com privilégios limitados pode injetar código JavaScript arbitrário, que será executado no navegador da vítima quando ela abrir a URL da imagem.

Recomendações

Para as versões 9.0.0-alpha.4 a 9.4.1, considere desativar a funcionalidade de upload de mídia, especificamente o recurso de upload de arquivos SVG, até que uma correção esteja disponível. Restrinja o acesso ao módulo de upload de mídia para minimizar o risco de exploração. Evite usar a funcionalidade de upload de mídia nas versões afetadas até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-22116

Produtos afetados

Directus

Referências · 6

• 🔥 https://whitesourcesoftware.com/vulnerability-database/CVE-2022-22116 · Exploit
• https://github.com/directus/directus/commit/ec86d5412d45136915d9b622b4a890dd26932b10 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-22116 · Nota de Segurança
• https://t.me/cvenotify/25155 · Publicação no Telegram
• https://t.me/cibsecurity/35177 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-22116 · Aviso do Fabricante