PT-2022-15821 · Shopizer · Shopizer

Publicado 2022-05-01 · Atualizado 2022-05-09 · CVE-2022-23060

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Shopizer, versões 2.0 a 2.17.0

Descrição

Existe uma vulnerabilidade de tipo Stored Cross Site Scripting (XSS), na qual um usuário com privilégios pode injetar código JavaScript malicioso no nome do arquivo na guia “Gerenciar arquivos”. Isso permite que um invasor possa executar código malicioso.

Recomendações

Para as versões 2.0 a 2.17.0 do Shopizer, considere restringir o acesso à guia “Gerenciar arquivos” para minimizar o risco de exploração até que uma correção esteja disponível. Como solução temporária, limite a capacidade de usuários com privilégios de injetar JavaScript malicioso nos nomes de arquivos. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-23060

Produtos afetados

Shopizer

Referências · 6

• 🔥 https://whitesourcesoftware.com/vulnerability-database/CVE-2022-23060 · Exploit
• https://github.com/shopizer-ecommerce/shopizer/commit/6b9f1ecd303b3b724d96bd08095c1a751dcc287e · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-23060 · Nota de Segurança
• https://t.me/cibsecurity/41697 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-23060 · Aviso do Fabricante
• https://t.me/cvenotify/29522 · Publicação no Telegram