PT-2022-16478 · Marktext · Marktext

Fxha · Publicado 2022-01-29 · Atualizado 2022-02-04 · CVE-2022-24123

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.0

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 0.16.3 e anteriores do MarkText

Descrição

O problema decorre da falta de sanitização de entradas nos blocos Mermaid antes da renderização, o que pode levar à execução remota de código por meio de um arquivo .md contendo uma carga de ataque Cross-Site Scripting (XSS) de mutação.

Recomendações

Para as versões 0.16.3 e anteriores do MarkText, considere desativar a renderização de blocos mermaid até que um patch esteja disponível para prevenir possíveis ataques de execução remota de código.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-24123

Produtos afetados

Marktext

Referências · 6

• 🔥 https://github.com/marktext/marktext/issues/2946 · Exploit
• https://github.com/marktext/marktext/pull/2947 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-24123 · Nota de Segurança
• https://t.me/cvenotify/26028 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-24123 · Aviso do Fabricante
• https://t.me/cibsecurity/36565 · Publicação no Telegram