PT-2022-16015 · Editor.Js · Editor.Js

Bananabr + 5 · Publicado 2022-12-15 · Atualizado 2024-08-05 · CVE-2022-23474

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Editor.js anteriores à 2.26.0

Descrição

O problema diz respeito a uma vulnerabilidade de injeção de código por meio de entradas coladas no Editor.js, um editor de blocos. O método processHTML está vulnerável, pois passa as entradas coladas para o innerHTML do wrapper. Isso permite possíveis ataques de injeção de código.

Recomendações

Para versões anteriores à 2.26.0, atualize para a versão 2.26.0 para resolver o problema. Como solução temporária, considere desativar o método processHTML até que o patch seja aplicado. Restrinja o acesso a entradas coladas para minimizar o risco de exploração.

Exploit

Correção

XSS

Code Injection

Enumeração de Fraquezas

CWE-79

CWE-94

Identificadores relacionados

CVE-2022-23474

GHSA-6MVJ-2569-3MCM

Produtos afetados

Editor.Js

Referências · 10

• 🔥 https://github.com/codex-team/editor.js/pull/2100 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23474.json · Exploit
• 🔥 https://securitylab.github.com/advisories/GHSL-2022-028_codex-team_editor_js · Exploit
• https://github.com/codex-team/editor.js/commit/f659015be6de8e6f0c322c5ff4d1a4532d2f29a2 · Nota
• https://github.com/codex-team/editor.js · Nota
• https://osv.dev/vulnerability/CVE-2022-23474 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-23474 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-6mvj-2569-3mcm · Aviso do Fabricante
• https://securitylab.github.com/advisories · Nota
• https://t.me/cibsecurity/54607 · Publicação no Telegram