PT-2022-16165 · Unknown · Zulip Server

Andersk · Publicado 2022-03-02 · Atualizado 2022-03-09 · CVE-2022-23656

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.6

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Zulip Server de junho de 2021 até o ramo principal anterior a 01/03/2022

Descrição

A vulnerabilidade afeta a página de tópicos recentes do Zulip Server, onde um invasor poderia explorar uma vulnerabilidade de cross-site scripting criando um nome completo malicioso para sua conta e enviando mensagens para um tópico com vários participantes. Se uma vítima abrir uma dica de ferramenta com overflow que inclua esse nome completo, isso poderia acionar a execução de código JavaScript controlado pelo invasor.

Recomendações

Para as versões do Zulip Server de junho de 2021 até o ramo principal antes de 01/03/2022, atualize do ramo principal para uma versão de 01/03/2022 ou posterior para implementar a correção. Como solução alternativa temporária, considere restringir o acesso à página de tópicos recentes ou desativar o recurso de dica de ferramenta com overflow até que a atualização seja aplicada.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-23656

GHSA-FC77-H3JC-6MFV

Produtos afetados

Zulip Server

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23656.json · Exploit
• https://github.com/zulip/zulip/commit/e090027adcbf62737d5b1f83a9618a9500a49321 · Correção
• https://github.com/zulip/zulip/security/advisories/GHSA-fc77-h3jc-6mfv · Nota
• https://t.me/cibsecurity/38328 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-23656 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-23656 · Aviso do Fabricante