PT-2024-20575 · Sulu · Sulu

Alexander-Schranz · Publicado 2024-02-05 · Atualizado 2024-02-12 · CVE-2024-24807

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.7

Baixa

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Sulu anteriores à 2.4.16

Versões do Sulu anteriores à 2.5.12

Descrição

O Sulu é um sistema de gerenciamento de conteúdo PHP de código aberto altamente extensível, baseado na estrutura Symfony. Existe um problema ao inserir HTML no nome da tag. O HTML é executado quando o nome da tag é listado no formulário de preenchimento automático. Apenas usuários administradores podem criar tags, portanto, são os únicos afetados.

Recomendações

Para versões anteriores à 2.4.16, atualize para a versão 2.4.16 ou posterior.

Para versões anteriores à 2.5.12, atualize para a versão 2.5.12 ou posterior.

Como solução alternativa temporária, considere criar um observador de mutação personalizado para mitigar o problema.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-80

CWE-79

Identificadores relacionados

CVE-2024-24807

GHSA-GFRH-GWQC-63CV

Produtos afetados

Sulu

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/24xxx/CVE-2024-24807.json · Exploit
• https://github.com/sulu/sulu · Nota
• https://github.com/sulu/sulu/releases/tag/2.4.16 · Nota
• https://github.com/sulu/sulu/releases/tag/2.5.12 · Nota
• https://github.com/sulu/sulu/security/advisories/GHSA-gfrh-gwqc-63cv · Aviso do Fabricante
• https://github.com/sulu/sulu/commit/570c78124ae97cb02469141b86ac69d9fb2cb147 · Nota
• https://osv.dev/vulnerability/GHSA-gfrh-gwqc-63cv · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-24807 · Nota de Segurança
• https://t.me/cvenotify/71144 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1754602784245133370 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-24807 · Aviso do Fabricante