PT-2022-9421 · Npm+4 · @Braintree/Sanitize-Url+4

Bob Wombat Hogg · Publicado 2022-02-22 · Atualizado 2022-11-15 · CVE-2021-23648

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões anteriores à 6.0.0 do @braintree/sanitize-url

Descrição

O problema está relacionado a Cross-site Scripting (XSS) devido a uma sanitização inadequada na função sanitizeUrl. Isso permite possíveis ataques XSS.

Recomendações

Para versões anteriores à 6.0.0, atualize para a versão 6.0.0 ou posterior para resolver o problema. Como solução temporária, considere desativar a função sanitizeUrl até que um patch esteja disponível.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

ALSA-2022:7519

ALSA-2022:8057

CESA-2022_7519

CVE-2021-23648

GHSA-HQQ7-2Q2V-82XQ

RHSA-2022:7519

RHSA-2022:8057

RHSA-2022_7519

RHSA-2022_8057

RLSA-2022:7519

RLSA-2022:8057

SNYK-JS-BRAINTREESANITIZEURL-2339882

Produtos afetados

@Braintree/Sanitize-Url

Almalinux

Centos

Red Hat

Rocky Linux

Referências · 81

• 🔥 https://snyk.io/vuln/SNYK-JS-BRAINTREESANITIZEURL-2339882 · Exploit
• https://github.com/braintree/sanitize-url/pull/40/commits/e5afda45d9833682b705f73fc2c1265d34832183 · Correção
• https://github.com/braintree/sanitize-url/pull/40 · Correção
• https://github.com/braintree/sanitize-url/blob/main/src/index.ts%23L11 · Nota
• https://github.com/braintree/sanitize-url · Nota
• https://ubuntu.com/security/CVE-2021-23648 · Aviso do Fabricante
• https://access.redhat.com/security/cve/CVE-2022-28131 · Nota
• https://access.redhat.com/security/cve/CVE-2022-30630 · Nota
• https://errata.almalinux.org/9/ALSA-2022-8057.html · Aviso do Fabricante
• https://errata.rockylinux.org/RLSA-2022:7519 · Aviso do Fabricante
• https://access.redhat.com/errata/RHSA-2022:8057 · Nota
• https://bugzilla.redhat.com/2107376 · Nota
• https://security-tracker.debian.org/tracker/CVE-2021-23648 · Aviso do Fabricante
• https://access.redhat.com/security/cve/CVE-2021-23648 · Nota
• https://bugzilla.redhat.com/show_bug.cgi?id=2045880 · Nota