PT-2022-17570 · Npm · @Yaireo/Tagify

Roman Rott · Publicado 2022-04-29 · Atualizado 2022-09-23 · CVE-2022-25854

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do @yaireo/tagify anteriores à 4.9.8

Descrição

A vulnerabilidade afeta o pacote utilizado para renderizar componentes da interface do usuário dentro de campos de entrada ou de texto. Um invasor pode inserir um valor de placeholder malicioso para executar uma carga de script entre sites (XSS).

Recomendações

Para versões anteriores à 4.9.8, atualize para a versão 4.9.8 ou posterior para resolver o problema. Como solução temporária, considere restringir a entrada de valores de placeholder para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-25854

GHSA-PXPF-V376-7XX5

SNYK-JS-YAIREOTAGIFY-2404358

Produtos afetados

@Yaireo/Tagify

Referências · 11

• 🔥 https://github.com/yairEO/tagify/issues/988 · Exploit
• 🔥 https://bsg.tech/blog/cve-2022-25854-stored-xss-in-yaireo-tagify-npm-module · Exploit
• https://github.com/yairEO/tagify/commit/198c0451fad188390390395ccfc84ab371def4c7 · Correção
• https://github.com/yairEO/tagify/releases/tag/v4.9.8 · Nota
• https://github.com/yairEO/tagify · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-25854 · Nota de Segurança
• https://snyk.io/vuln/SNYK-JS-YAIREOTAGIFY-2404358 · Nota
• https://osv.dev/vulnerability/CVE-2022-25854 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-pxpf-v376-7xx5 · Aviso do Fabricante
• https://t.me/cibsecurity/41684 · Publicação no Telegram
• https://t.me/cvenotify/29495 · Publicação no Telegram