PT-2022-24239 · Silverstripe · Silverstripe/Framework

Nhienit · Publicado 2022-11-21 · Atualizado 2024-10-06 · CVE-2022-38147

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Silverstripe silverstripe/framework versões 4.11 e anteriores

Descrição

A vulnerabilidade permite ataques XSS. Um autor de conteúdo malicioso poderia enviar um arquivo GPX contendo um código JavaScript malicioso. Esse código poderia então ser executado ao induzir um usuário legítimo a visualizar o arquivo em um navegador compatível com arquivos GPX. GPX é um formato baseado em XML usado para armazenar dados de GPS.

Recomendações

Para as versões 4.11 e anteriores, considere desativar o upload de arquivos GPX para a área de ativos como uma solução temporária até que um patch esteja disponível. Por padrão, o Silverstripe CMS não permitirá mais que arquivos GPX sejam enviados para a área de ativos; portanto, garantir que essa configuração padrão esteja em vigor pode ajudar a mitigar o risco.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-38147

GHSA-VV3R-FXQP-VR3F

Produtos afetados

Silverstripe/Framework

Referências · 11

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/silverstripe/assets/CVE-2022-38147.yaml · Exploit
• https://silverstripe.org/download/security-releases/CVE-2022-38147 · Aviso do Fabricante
• https://silverstripe.org/blog/tag/release · Aviso do Fabricante
• https://t.me/cibsecurity/53392 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vv3r-fxqp-vr3f · Aviso do Fabricante
• https://forum.silverstripe.org/c/releases · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-38147 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-38147 · Aviso do Fabricante
• https://twitter.com/phth0nus/status/1843034169074729008 · Publicação no Twitter
• https://silverstripe.org/download/security-releases · Aviso do Fabricante
• https://silverstripe.org/download/security-releases/cve-2022-38147 · Nota