PT-2022-7407 · Glpi+2 · Glpi+2
Ariane
+1
·
Publicado
2022-04-21
·
Atualizado
2024-07-26
·
CVE-2022-24868
CVSS v3.1
7.3
Alta
| Vetor | AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do GLPI anteriores à 10.0.0
Descrição
O problema está relacionado à falta de sanitização no upload de arquivos SVG, permitindo que um invasor injete código JavaScript no avatar de um usuário. Isso pode levar a um ataque de script entre sites (XSS) quando qualquer usuário visualizar o avatar. O número estimado de dispositivos potencialmente afetados não foi especificado. Não há informações sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.
A vulnerabilidade pode ser explorada através do upload de um arquivo SVG especialmente criado, o que permite ao invasor realizar um ataque de cross-site scripting.
Os detalhes técnicos sobre a exploração incluem a falta de sanitização no
upload de arquivos SVG e a capacidade de injetar javascript no avatar do usuário.Recomendações
Para versões anteriores à 10.0.0, recomenda-se que os usuários atualizem para uma versão mais recente.
Como solução alternativa temporária, os usuários que não puderem atualizar devem desativar os avatares SVG para minimizar o risco de exploração.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Glpi
Red Os