PT-2022-27779 · Discourse · Discourse-Bbcode

Jomaxro · CVE-2022-46162 · Publicado 2022-11-30 · Atualizado 2023-07-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do discourse-bbcode anteriores ao commit 91478f5

Descrição

O problema afeta sites que tenham o plugin discourse-bbcode instalado e ativado, permitindo a injeção de CSS durante a renderização de conteúdo gerado pelo plugin. Como solução alternativa, ativar a Política de Segurança de Conteúdo (CSP) e monitorar as publicações que contenham bbcode pode ajudar a mitigar o problema.

Recomendações

Para versões anteriores ao commit 91478f5, atualize para uma versão que inclua o patch do commit 91478f5 para resolver o problema.

Como solução temporária, certifique-se de que a Política de Segurança de Conteúdo esteja ativada e monitore todas as postagens que contenham bbcode.

Exploit

Correção

Special Elements Injection

XSS

Enumeração de Fraquezas

CWE-74

CWE-79

Identificadores relacionados

CVE-2022-46162

GHSA-8C87-XPQV-C7MP

Produtos afetados

Discourse-Bbcode

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/46xxx/CVE-2022-46162.json · Exploit
• 🔥 https://github.com/discourse/discourse-bbcode/security/advisories/GHSA-8c87-xpqv-c7mp · Exploit
• https://github.com/discourse/discourse-bbcode/commit/91478f5cfecdcc43cf85b997168a8ecfd0f8df90 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-46162 · Nota de Segurança
• https://t.me/cibsecurity/53740 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-46162 · Aviso do Fabricante