PT-2022-25579 · Thinkcmf · Thinkcmf

Alediben · Publicado 2022-12-01 · Atualizado 2025-04-24 · CVE-2022-40849

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

ThinkCMF versão 6.0.7

Descrição

A vulnerabilidade permite que um invasor injete uma carga de XSS persistente na seção “Gerenciamento de apresentação de slides”, executando código JavaScript arbitrário no lado do cliente. Isso poderia ser usado para roubar o token de sessão PHP do administrador, especificamente o PHPSESSID.

Recomendações

Para o ThinkCMF versão 6.0.7, considere desativar a seção Gerenciamento de Apresentações de Slides até que um patch esteja disponível para impedir a injeção de código JavaScript malicioso. Restrinja o acesso a esta seção para minimizar o risco de exploração. Evite usar o recurso Gerenciamento de Apresentações de Slides até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-40849

GHSA-M9MF-RQX6-2XPC

Produtos afetados

Thinkcmf

Referências · 10

• 🔥 https://github.com/thinkcmf/thinkcmf/issues/737 · Exploit
• https://github.com/thinkcmf/thinkcmf/commit/aba1f52bbf6c9515c545e046cec8416cbaefa496 · Nota
• https://github.com/thinkcmf/thinkcmf · Nota
• https://github.com/thinkcmf/thinkcmf/commit/b61636134aa57d4693967f35772200c779099740 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-40849 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-40849 · Aviso do Fabricante
• https://t.me/cvenotify/38849 · Publicação no Telegram
• https://t.me/cvenotify/119742 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-m9mf-rqx6-2xpc · Aviso do Fabricante
• https://t.me/cibsecurity/53751 · Publicação no Telegram