PT-2022-27174 · Unknown · Resque Scheduler

Trungvm · Publicado 2022-12-13 · Atualizado 2023-12-19 · CVE-2022-44303

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Resque Scheduler versão 1.27.4

Descrição

Um invasor remoto poderia injetar código JavaScript nos parâmetros schedule job ou args em “/resque/delayed/jobs/{schedule job}?args={args id}” para executar JavaScript no lado do cliente, resultando em uma vulnerabilidade de Cross-site scripting (XSS).

Recomendações

Para o Resque Scheduler versão 1.27.4, atualize para a versão 4.10.2 para resolver o problema.

Como solução temporária, considere evitar clicar em links de terceiros ou não confiáveis para a interface resque-web até que o aplicativo seja corrigido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-44303

GHSA-9HMQ-FM33-X4XX

GHSA-Q7JC-V6F2-Q9JR

Produtos afetados

Resque Scheduler

Referências · 11

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/resque-scheduler/CVE-2022-44303.yml · Exploit
• 🔥 https://trungvm.gitbook.io/cves/resque/resque-1.27.4-multiple-reflected-xss-in-resque-schedule-job · Exploit
• https://github.com/resque/resque-scheduler · Nota
• https://github.com/resque/resque-scheduler/security/advisories/GHSA-9hmq-fm33-x4xx · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-44303 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-9hmq-fm33-x4xx · Aviso do Fabricante
• https://t.me/cvenotify/40016 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-q7jc-v6f2-q9jr · Aviso do Fabricante
• https://twitter.com/rubylandnews/status/1737236507868426719 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2022-44303 · Aviso do Fabricante
• http://resque.com · Nota