PT-2024-20370 · Unknown · Temporal Server

Publicado 2024-04-02 · Atualizado 2024-06-04 · CVE-2024-2435

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Temporal UI Server (versões afetadas não especificadas)

Descrição

A vulnerabilidade permite que um invasor com acesso pré-existente envie um sinal a um fluxo de trabalho para que este execute um script quando a vítima visualizar o sinal. Isso é feito definindo o nome do sinal como um script. A vulnerabilidade de cross-site scripting (XSS) está presente na página da linha do tempo que exibe os detalhes de execução do fluxo de trabalho ao qual foi enviado o sinal manipulado. O acesso para enviar um sinal a um fluxo de trabalho é determinado pela configuração do autorizador no servidor, incluindo entidades com permissão para chamar diretamente determinadas APIs ou implantar um worker com acesso para chamar APIs de progresso do fluxo de trabalho.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-2435

GHSA-8F25-W7QJ-R7HC

GO-2024-2675

Produtos afetados

Temporal Server

Referências · 10

• https://github.com/temporalio/ui-server/releases/tag/v2.25.0 · Nota
• https://github.com/temporalio/ui-server · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-2435 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-2435 · Aviso do Fabricante
• https://t.me/cvenotify/75522 · Publicação no Telegram
• https://t.me/cvenotify/75499 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2024-2675 · Aviso do Fabricante
• https://github.com/advisories/GHSA-8f25-w7qj-r7hc · Nota
• https://twitter.com/CVEnew/status/1775204679976153279 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-8f25-w7qj-r7hc · Aviso do Fabricante