PT-2022-24237 · Silverstripe · Silverstripe/Framework
Tf1T
·
Publicado
2022-11-22
·
Atualizado
2022-11-30
·
CVE-2022-38145
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Silverstripe silverstripe/framework, versões até a 4.11
Descrição
A vulnerabilidade permite que invasores remotos executem um código JavaScript na visualização de comparação do histórico de versões, adicionando-o à meta descrição de uma página. Isso pode ser feito por um autor de conteúdo malicioso que tenha acesso ao CMS. O invasor deve então convencer um usuário com privilégios a acessar o histórico de versões dessa página.
Recomendações
Para versões até a 4.11, considere restringir o acesso à visualização de comparação do histórico de versões até que um patch esteja disponível. Como solução temporária, limite a capacidade dos autores de conteúdo de adicionar cargas de Javascript às meta descrições das páginas. Certifique-se de que apenas usuários confiáveis tenham acesso ao CMS para minimizar o risco de exploração.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Silverstripe/Framework