PT-2022-20721 · Wiris · Wiris Mathtype

Publicado 2022-06-16 · Atualizado 2022-06-28 · CVE-2022-31372

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Wiris Mathtype versão 7.28.0

Descrição

O problema está relacionado a uma vulnerabilidade de traversal de caminho no parâmetro resourceFile. Essa vulnerabilidade pode ser explorada por meio de uma solicitação maliciosa enviada ao manipulador de recursos.

Recomendações

Para o Wiris Mathtype versão 7.28.0, considere restringir o acesso ao parâmetro resourceFile no manipulador de recursos para minimizar o risco de exploração. Como solução temporária, evite usar o parâmetro resourceFile em solicitações maliciosas até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2022-31372

Produtos afetados

Wiris Mathtype

Referências · 6

• https://github.com/wiris/moodle-filter_wiris/commit/037ce9c1d9b9642689a332b6ebee8eaf0a737576 · Correção
• https://t.me/cvenotify/32302 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-31372 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-31372 · Aviso do Fabricante
• https://t.me/cibsecurity/44631 · Publicação no Telegram
• https://t.me/cvenotify/31726 · Publicação no Telegram