PT-2022-26038 · Unknown · Markdownify

Carlos Bello · CVE-2022-41709 · Publicado 2022-10-19 · Atualizado 2022-10-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Markdownify versão 1.4.1

Descrição

A vulnerabilidade permite que um invasor externo execute código arbitrário remotamente em qualquer cliente que tente visualizar um arquivo Markdown malicioso por meio do Markdownify. Isso é possível porque a opção nodeIntegration está ativada na aplicação.

Recomendações

Para o Markdownify versão 1.4.1, considere desativar a opção nodeIntegration como uma solução temporária até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-829

Identificadores relacionados

CVE-2022-41709

GHSA-C942-MFMP-P4FH

Produtos afetados

Markdownify

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/41xxx/CVE-2022-41709.json · Exploit
• 🔥 https://fluidattacks.com/advisories/adams · Exploit
• https://github.com/amitmerchant1990/electron-markdownify · Nota
• https://osv.dev/vulnerability/GHSA-c942-mfmp-p4fh · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-41709 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-41709 · Aviso do Fabricante