PT-2022-20497 · Discourse · Discourse Calendar

Jomaxro · Publicado 2022-06-14 · Atualizado 2022-06-23 · CVE-2022-31059

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Discourse Calendar anteriores à 1.0.1

Descrição

O problema afeta o plugin Discourse Calendar para o Discourse, um aplicativo de mensagens de código aberto, no qual a análise e a renderização de nomes de eventos podem estar suscetíveis a ataques de script entre sites (XSS). Essa vulnerabilidade afeta apenas sites que modificaram ou desativaram a Política de Segurança de Conteúdo (CSP) padrão do Discourse.

Recomendações

Para versões anteriores à 1.0.1, atualize para a versão 1.0.1 do plugin Discourse Calendar para resolver o problema.

Como solução temporária, certifique-se de que a Política de Segurança de Conteúdo esteja ativada e não tenha sido modificada de forma a torná-la mais vulnerável a ataques XSS.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-31059

GHSA-C783-X9VM-XXP5

Produtos afetados

Discourse Calendar

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/31xxx/CVE-2022-31059.json · Exploit
• https://github.com/discourse/discourse-calendar/commit/2719b9e81994e961bf8c4e12b4556dc9777dd62f · Correção
• https://github.com/discourse/discourse-calendar/security/advisories/GHSA-c783-x9vm-xxp5 · Nota
• https://github.com/discourse/discourse-calendar/pull/280 · Correção
• https://osv.dev/vulnerability/CVE-2022-31059 · Aviso do Fabricante
• https://t.me/cibsecurity/44461 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-31059 · Nota de Segurança
• https://t.me/cvenotify/31612 · Publicação no Telegram