PT-2024-12301 · Norman · Norman Api

Diego95Root + 1 · Publicado 2024-02-08 · Atualizado 2024-10-16 · CVE-2023-32193

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:L

Nome do software vulnerável e versões afetadas

Versões da API do Norman anteriores às versões corrigidas

Descrição

Foi identificada uma vulnerabilidade no endpoint da API pública do Norman, permitindo a exploração de cross-site scripting (XSS) sem autenticação. Isso pode levar um invasor a acionar código JavaScript e executar comandos remotamente. O vetor de ataque foi identificado como um XSS refletido, no qual a API propaga cargas maliciosas da entrada do usuário para a interface do usuário, renderizando a saída. Por exemplo, uma URL maliciosa pode ser renderizada em um script que é executado em uma página.

Recomendações

Para resolver o problema, atualize a API do Norman para uma versão corrigida, como aquelas que incluem os commits 3bb70b7, a6a6cf5, cb54924, 7b2b467 ou bd13c65. Como solução alternativa temporária, considere implementar medidas de segurança para codificar a entrada da URL de solicitação antes de adicioná-la à resposta e escapar a entrada da solicitação alterando a construção da URL para usar url.URL e escapando variáveis JavaScript e CSS com codificação de atributos.

Correção

XSS

Enumeração de Fraquezas

CWE-80

Identificadores relacionados

CVE-2023-32193

GHSA-R8F4-HV23-6QP6

GO-2024-2536

Produtos afetados

Norman Api

Referências · 15

• https://github.com/rancher/norman/security/advisories/GHSA-r8f4-hv23-6qp6 · Nota
• https://github.com/rancher/norman/commit/bd13c653293b9b5e0b37e8a6ccd1c3277f4623ed · Nota
• https://github.com/rancher/norman/commit/3bb70b772b52297feac64f5fdeb1b13c06c37e39 · Nota
• https://github.com/rancher/norman · Nota
• https://github.com/rancher/norman/commit/7b2b467995e6dfab6d4a5dee8dffc15033ae8269 · Nota
• https://github.com/rancher/norman/commit/a6a6cf5696088c32002953d36b75bdcc84f2399e · Nota
• https://github.com/rancher/norman/commit/cb54924f25c7666511a913cd41834299ef22dba4 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-32193 · Nota de Segurança
• https://t.me/cvedetector/8062 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1846529475602682225 · Publicação no Twitter
• https://osv.dev/vulnerability/GO-2024-2536 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1846537265687756865 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2023-32193 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-r8f4-hv23-6qp6 · Aviso do Fabricante
• https://bugzilla.suse.com/show_bug.cgi?id=CVE-2023-32193 · Nota