PT-2022-16238 · Github · Github Enterprise Server

None · Publicado 2022-08-02 · Atualizado 2022-08-06 · CVE-2022-23733

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do GitHub Enterprise Server anteriores à 3.6

Descrição

Foi identificada uma vulnerabilidade de XSS armazenado, permitindo a injeção de atributos arbitrários, que foi bloqueada pela Política de Segurança de Conteúdo (CSP) do GitHub. Esta vulnerabilidade foi relatada por meio do programa de recompensa por bugs do GitHub.

Recomendações

Para versões anteriores à 3.3.11, atualize para a versão 3.3.11 ou posterior.

Para versões anteriores à 3.4.6, atualize para a versão 3.4.6 ou posterior.

Para versões anteriores à 3.5.3, atualize para a versão 3.5.3 ou posterior.

Como solução temporária, considere restringir o acesso a atributos que possam ser injetados até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-23733

Produtos afetados

Github Enterprise Server

Referências · 6

• https://t.me/cibsecurity/47429 · Publicação no Telegram
• https://docs.github.com/en/enterprise-server%403.4/admin/release-notes#3.4.6 · Nota
• https://docs.github.com/en/enterprise-server%403.3/admin/release-notes#3.3.11 · Nota
• https://docs.github.com/en/enterprise-server%403.5/admin/release-notes#3.5.3 · Nota
• https://osv.dev/vulnerability/CVE-2022-23733 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-23733 · Nota de Segurança