PT-2022-21097 · Strapi · Strapi
Grim The Ripper Team
·
Publicado
2022-07-13
·
Atualizado
2024-08-03
·
CVE-2022-32114
CVSS v2.0
6.5
Média
| Vetor | AV:N/AC:L/Au:S/C:P/I:P/A:P |
Nome do software vulnerável e versões afetadas
Strapi versão 4.1.12
Descrição
Uma vulnerabilidade de upload de arquivos sem restrições na função “Adicionar novos ativos” permite que invasores realizem ataques XSS por meio de um arquivo PDF malicioso. A documentação do projeto sugere que um usuário com a permissão “Criar (upload)” na Biblioteca de Mídia deve ser capaz de fazer upload de arquivos PDF contendo JavaScript, e que todos os arquivos em uma pasta de ativos pública são acessíveis ao mundo externo (a menos que o nome do arquivo comece com um ponto). O administrador pode optar por permitir apenas arquivos de imagem, vídeo e áudio (ou seja, não PDF), se desejar. Os invasores também podem executar código arbitrário por meio de um arquivo malicioso. Depois que um invasor autenticado faz o upload de um arquivo contendo uma URL maliciosa, a vítima copia e cola a URL maliciosa em uma nova guia para receber a carga útil XSS.
Recomendações
Como solução temporária, considere desativar a funcionalidade de upload de arquivos na função “Adicionar novos ativos” até que uma correção esteja disponível. Restrinja o acesso à pasta de ativos públicos para minimizar o risco de exploração. O administrador pode optar por permitir apenas arquivos de imagem, vídeo e áudio (ou seja, não PDF) para reduzir o risco de execução de código arbitrário. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
XSS
Unrestricted File Upload
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Strapi