PT-2022-23891 · Craft Cms · Craft Cms

Gil Correia · Publicado 2022-09-16 · Atualizado 2022-09-21 · CVE-2022-37247

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Craft CMS versão 4.2.0.1

Descrição

O problema está relacionado a uma vulnerabilidade de cross-site scripting (XSS) armazenada. Isso ocorre por meio da página /admin/settings/fields, permitindo que possíveis invasores injetem scripts maliciosos. O cross-site scripting (XSS) é um tipo de vulnerabilidade de segurança que pode ser usada por invasores para roubar sessões de usuários, vandalizar sites ou redirecionar usuários para sites maliciosos.

Recomendações

Para a versão 4.2.0.1 do Craft CMS, como solução temporária, considere restringir o acesso à página /admin/settings/fields até que uma correção esteja disponível. Além disso, evite usar quaisquer campos potencialmente vulneráveis na página de configurações para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-37247

GHSA-3CVM-7WRH-QRF9

Produtos afetados

Craft Cms

Referências · 10

• https://github.com/craftcms/cms · Nota
• https://github.com/craftcms/cms/commit/cedeba0609e4b173cd584dae7f33c5f713f19627 · Correção
• https://github.com/craftcms/cms/blob/4.0.0-RC1/src/helpers/Cp.php · Nota
• https://github.com/craftcms/cms/blob/3.7.55.2/src/helpers/Cp.php · Nota
• https://labs.integrity.pt/advisories/cve-2022-37247 · Nota
• https://t.me/cibsecurity/50003 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-37247 · Aviso do Fabricante
• https://t.me/cvenotify/36380 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-37247 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-3cvm-7wrh-qrf9 · Aviso do Fabricante