PT-2022-17067 · Marktext · Marktext

Fxha · Publicado 2022-03-05 · Atualizado 2022-03-10 · CVE-2022-25069

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Mark Text versão 0.16.3

Descrição

Uma vulnerabilidade de cross-site scripting (XSS) baseada em DOM permite que invasores executem código remotamente (RCE) injetando uma carga maliciosa no arquivo /lib/contentState/pasteCtrl.js. Isso permite que invasores executem código malicioso remotamente.

Recomendações

Para a versão 0.16.3 do Mark Text, considere desativar o módulo /lib/contentState/pasteCtrl.js até que uma correção esteja disponível para impedir a execução remota de código. Restrinja o acesso a este módulo para minimizar o risco de exploração. Evite usar o módulo afetado no arquivo /lib/contentState/pasteCtrl.js até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-25069

Produtos afetados

Marktext

Referências · 6

• 🔥 https://github.com/marktext/marktext/issues/2990 · Exploit
• https://github.com/marktext/marktext/pull/3002 · Correção
• https://t.me/cibsecurity/38489 · Publicação no Telegram
• https://t.me/cvenotify/28051 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-25069 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-25069 · Aviso do Fabricante