PT-2022-20522 · Unknown · Scratchtools

Garbomuffin · Publicado 2022-06-27 · Atualizado 2022-07-07 · CVE-2022-31094

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do ScratchTools anteriores à 2.5.2

Descrição

O problema afeta os usuários do recurso “Projetos visualizados recentemente”, tornando-os vulneráveis à invasão de conta caso visualizem um projeto que tente explorar essa vulnerabilidade. O problema ocorre quando um projeto com Javascript no título é visitado e o recurso “Projetos visualizados recentemente” o exibe, potencialmente executando o Javascript.

Recomendações

Para versões anteriores à 2.5.2, atualize para a versão 2.5.2 para resolver o problema. Como solução temporária, considere evitar o uso do recurso “Projetos visualizados recentemente” até que a atualização seja aplicada.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-31094

GHSA-6R45-JJW6-Q39X

Produtos afetados

Scratchtools

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/31xxx/CVE-2022-31094.json · Exploit
• https://github.com/STForScratch/ScratchTools · Nota
• https://github.com/STForScratch/ScratchTools/commit/a29a0c6105bc14a89d25c806f6a3ad1257bbb683 · Correção
• https://github.com/STForScratch/ScratchTools/security/advisories/GHSA-6r45-jjw6-q39x · Nota
• https://github.com/STForScratch/ScratchTools/releases/tag/v2.5.2 · Nota
• https://osv.dev/vulnerability/CVE-2022-31094 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-31094 · Nota de Segurança
• https://t.me/cibsecurity/45233 · Publicação no Telegram