PT-2022-23132 · Unknown · Mdx-Mermaid

Sjwall · Publicado 2022-08-29 · Atualizado 2022-09-01 · CVE-2022-36036

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.6

Baixa

Vetor base

AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do mdx-mermaid anteriores à 1.3.0

Versões do mdx-mermaid 2.0.0-rc1

Descrição

A vulnerabilidade diz respeito a um risco de injeção arbitrária de JavaScript no mdx-mermaid. Isso pode ser explorado modificando blocos de código do Mermaid com código arbitrário, que será executado quando o componente for carregado pelo MDXjs. Não há soluções alternativas conhecidas para este problema.

Recomendações

Para versões do mdx-mermaid anteriores à 1.3.0, atualize para a versão 1.3.0 ou posterior.

Para a versão 2.0.0-rc1 do mdx-mermaid, atualize para a versão 2.0.0-rc2 ou posterior.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2022-36036

GHSA-RVGM-35JW-Q628

Produtos afetados

Mdx-Mermaid

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/36xxx/CVE-2022-36036.json · Exploit
• 🔥 https://github.com/sjwall/mdx-mermaid/security/advisories/GHSA-rvgm-35jw-q628 · Exploit
• https://github.com/sjwall/mdx-mermaid/commit/f2b99386660fd13316823529c3f1314ebbcdfd2a · Correção
• https://github.com/sjwall/mdx-mermaid · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-36036 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-36036 · Aviso do Fabricante
• https://t.me/cibsecurity/49003 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-rvgm-35jw-q628 · Aviso do Fabricante