PT-2022-18221 · Unknown · Elements Plus!

Esonhugh · Publicado 2022-04-25 · Atualizado 2022-05-05 · CVE-2022-27103

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do element-plus anteriores à 2.0.5

Descrição

A vulnerabilidade diz respeito a Cross Site Scripting (XSS) por meio do componente el-table-column. Especificamente, quando o atributo show-tooltips-overflow de el-table-column está definido como true, uma ação de passar o mouse pode fazer com que o texto dessa coluna seja renderizado como HTML, levando potencialmente a um ataque XSS.

Recomendações

Para versões do element-plus anteriores à 2.0.5, considere desativar o atributo show-tooltips-overflow do el-table-column para minimizar o risco de exploração até que uma correção esteja disponível. Restrinja o acesso ao componente el-table-column para evitar possíveis ataques XSS.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-27103

GHSA-RJVG-8V36-XV9R

Produtos afetados

Elements Plus!

Referências · 10

• 🔥 https://github.com/element-plus/element-plus/issues/6514 · Exploit
• 🔥 https://github.com/asjdf/element-table-xss-test · Exploit
• https://github.com/element-plus/element-plus · Nota
• https://github.com/element-plus/element-plus/commit/063c56446135176971f532bd0eb2e88a0b137d43 · Nota
• https://github.com/element-plus/element-plus/pull/6520 · Nota
• https://github.com/asjdf/element-table-xss-test/issues/1 · Nota
• https://osv.dev/vulnerability/CVE-2022-27103 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-27103 · Nota de Segurança
• https://t.me/cibsecurity/41376 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-rjvg-8v36-xv9r · Aviso do Fabricante