PT-2022-23993 · Silverstripe · Silverstripe/Framework

Tf1T · Publicado 2022-11-21 · Atualizado 2025-04-25 · CVE-2022-37429

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Silverstripe silverstripe/framework até a versão 4.11

Descrição

A vulnerabilidade permite um ataque XSS por meio de uma carga de JavaScript no atributo href de um link, ao dividir uma URL de JavaScript com caracteres de espaço em branco. Um autor de conteúdo malicioso poderia explorar essa vulnerabilidade adicionando uma carga de JavaScript ao atributo href de um link. Um invasor deve ter acesso ao CMS para explorar essa vulnerabilidade.

Recomendações

Para versões até a 4.11, como solução temporária, considere restringir o acesso ao atributo href dos links para minimizar o risco de exploração. Evite usar o atributo href em links com URLs de JavaScript até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-37429

GHSA-WC6R-4GGC-79W5

Produtos afetados

Silverstripe/Framework

Referências · 11

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/silverstripe/framework/CVE-2022-37429.yaml · Exploit
• https://osv.dev/vulnerability/CVE-2022-37429 · Aviso do Fabricante
• https://silverstripe.org/blog/tag/release · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-wc6r-4ggc-79w5 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-37429 · Nota de Segurança
• https://silverstripe.org/download/security-releases/CVE-2022-37429 · Aviso do Fabricante
• https://forum.silverstripe.org/c/releases · Aviso do Fabricante
• https://silverstripe.org/download/security-releases/cve-2022-37429 · Nota
• https://t.me/cvenotify/119885 · Publicação no Telegram
• https://silverstripe.org/download/security-releases · Aviso do Fabricante
• https://t.me/cibsecurity/53386 · Publicação no Telegram