PT-2022-23849 · Claroline · Claroline

Matthieu-Hackwitharts · Publicado 2022-08-25 · Atualizado 2022-08-27 · CVE-2022-37161

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Claroline anteriores à 13.5.8

Descrição

O problema está relacionado a Cross Site Scripting (XSS) por meio do upload de arquivos SVG. Isso significa que um invasor poderia, potencialmente, injetar scripts maliciosos no sistema ao enviar arquivos SVG especialmente criados para esse fim.

Recomendações

Para versões anteriores à 13.5.8, atualize para uma versão que inclua a correção para este problema, a fim de prevenir ataques de Cross Site Scripting (XSS) por meio do upload de arquivos SVG. Como solução temporária, considere restringir o upload de arquivos SVG ou implementar validação e sanitização adicionais para os arquivos enviados, a fim de minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-37161

Produtos afetados

Claroline

Referências · 4

• 🔥 https://github.com/matthieu-hackwitharts/claroline-CVEs/blob/main/svg_xss/svg_xss.md · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-37161 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-37161 · Aviso do Fabricante
• https://t.me/cibsecurity/48783 · Publicação no Telegram