PT-2022-28238 · Lithium+1 · Lithium+2
Publicado
2022-09-30
·
Atualizado
2022-09-30
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
lithium com Swagger-UI habilitado (versões afetadas não especificadas)
Descrição
Uma vulnerabilidade XSS no Swagger-UI fornecido pode ser explorada em aplicativos, permitindo que um invasor obtenha execução remota de código (RCE) e, potencialmente, exfiltre informações confidenciais no contexto da sessão do Swagger.
Recomendações
Para o lithium com Swagger-UI habilitado, atualize o swagger-ui utilizado mudando para a versão mais recente do dropwizard-swagger.
Como solução alternativa temporária, considere configurar uma Política de Segurança de Conteúdo (Content-Security-Policy) para reduzir o risco de conteúdo externo injetado.
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Swagger-Ui
Dropwizard-Swagger
Lithium