PT-2022-16820 · Weblate · Weblate

Nijel · Publicado 2022-02-25 · Atualizado 2024-06-15 · CVE-2022-24710

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Weblate anteriores à 4.11

Descrição

O Weblate é um sistema de localização contínua baseado na web, desenvolvido sob licença copyleft. As versões anteriores à 4.11 não neutralizam adequadamente as entradas do usuário nos campos user name e language. Devido a essa neutralização inadequada, é possível realizar ataques de cross-site scripting por meio desses campos.

Recomendações

Para versões anteriores à 4.11, recomenda-se que os usuários adicionem sua própria lógica de neutralização para evitar ataques de cross-site scripting.

Como solução temporária, considere adicionar validação de entrada para os campos user name e language até que um patch esteja disponível.

Para usuários que possam atualizar, os problemas foram corrigidos na versão 4.11.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BIT-WEBLATE-2022-24710

CVE-2022-24710

GHSA-6JP6-9RF9-GC66

OPENSUSE-SU-2024:11887-1

PYSEC-2022-35

Produtos afetados

Weblate

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24710.json · Exploit
• https://github.com/WeblateOrg/weblate · Nota
• https://github.com/WeblateOrg/weblate/commit/f6753a1a1c63fade6ad418fbda827c6750ab0bda · Correção
• https://github.com/WeblateOrg/weblate/commit/22d577b1f1e88665a88b4569380148030e0f8389 · Correção
• https://github.com/WeblateOrg/weblate/security/advisories/GHSA-6jp6-9rf9-gc66 · Correção
• https://github.com/WeblateOrg/weblate/commit/9e19a8414337692cc90da2a91c9af5420f2952f1 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/weblate/PYSEC-2022-35.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-24710 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-6jp6-9rf9-gc66 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2024:11887-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-weblate-2022-24710 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2022-24710 · Nota
• https://t.me/cvenotify/27407 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2022-35 · Aviso do Fabricante
• https://t.me/cibsecurity/38139 · Publicação no Telegram