PT-2024-19402 · Avo · Avo

Stevegeek · Publicado 2024-01-16 · Atualizado 2024-01-24 · CVE-2024-22411

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Avo anteriores à 2.47.0

Versões do Avo anteriores à 3.3.0

Descrição

O Avo é uma estrutura para criar painéis de administração para aplicativos Ruby on Rails. No Avo, qualquer código HTML dentro de texto que seja passado para error ou succeed em uma subclasse de Avo::BaseAction será renderizado diretamente, sem sanitização, na notificação que aparece na interface do usuário após a conclusão da ação. Um usuário mal-intencionado poderia explorar isso para desencadear um ataque de script entre sites contra um usuário desavisado.

Recomendações

Para versões anteriores à 2.47.0, atualize para a versão 2.47.0 ou posterior.

Para versões anteriores à 3.3.0, atualize para a versão 3.3.0 ou posterior.

Como solução temporária, considere desativar os métodos error e succeed nas subclasses de Avo::BaseAction até que um patch esteja disponível.

Restrinja o acesso à subclasse Avo::BaseAction para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-22411

GHSA-G8VP-2V5P-9QFH

Produtos afetados

Avo

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/22xxx/CVE-2024-22411.json · Exploit
• 🔥 https://github.com/avo-hq/avo/security/advisories/GHSA-g8vp-2v5p-9qfh · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/avo/CVE-2024-22411.yml · Exploit
• https://github.com/avo-hq/avo · Nota
• https://github.com/avo-hq/avo/commit/51bb80b181cd8e31744bdc4e7f9b501c81172347 · Correção
• https://github.com/avo-hq/avo/commit/fc92a05a8556b1787c8694643286a1afa6a71258 · Correção
• https://github.com/avo-hq/avo/releases/tag/v2.47.0 · Nota
• https://github.com/avo-hq/avo/releases/tag/v3.3.0 · Nota
• https://twitter.com/VulmonFeeds/status/1747403980769014141 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-22411 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-g8vp-2v5p-9qfh · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1747386034353041468 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-22411 · Aviso do Fabricante
• https://twitter.com/rubylandnews/status/1748047662308303010 · Publicação no Twitter