PT-2022-20480 · Unknown · Open Forms

Sergei-Maertens · Publicado 2022-06-13 · Atualizado 2022-06-21 · CVE-2022-31040

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Open Forms anteriores à 1.0.9 e à 1.1.1

Descrição

A página de consentimento de cookies no Open Forms contém um redirecionamento aberto devido à injeção de um parâmetro de string de consulta referer e à falta de validação do valor. Um agente mal-intencionado pode redirecionar os usuários para um site sob seu controle, expondo-os a ataques de phishing. O redirecionamento é iniciado pelo backend do Open Forms, que é uma página legítima, tornando menos óbvio para os usuários finais que estão sendo redirecionados para um site malicioso.

Recomendações

Para versões anteriores à 1.0.9, atualize para a versão 1.0.9 ou posterior para resolver o problema.

Para versões anteriores à 1.1.1, atualize para a versão 1.1.1 ou posterior para resolver o problema.

Exploit

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2022-31040

GHSA-C97H-M5QF-J8MF

Produtos afetados

Open Forms

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/31xxx/CVE-2022-31040.json · Exploit
• https://github.com/open-formulieren/open-forms/security/advisories/GHSA-c97h-m5qf-j8mf · Nota
• https://github.com/open-formulieren/open-forms/commit/3e8c9cce386e548765783354694fbb9d7a6ea7d3 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-31040 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-31040 · Aviso do Fabricante
• https://t.me/cibsecurity/44271 · Publicação no Telegram