PT-2024-21652 · Querybook · Querybook

Hakupiku

·

Publicado

2024-02-28

·

Atualizado

2024-02-29

·

CVE-2024-27103

CVSS v3.1

6.1

Média

VetorAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões do Querybook anteriores à 3.31.2
Descrição
O problema decorre do uso de dangerouslySetInnerHTML ao destacar resultados de pesquisa, o que pode acionar uma carga XSS caso o resultado contenha código malicioso. Além disso, durante a “sugestão automática de consulta”, os nomes de tabela sugeridos são definidos com innerHTML, levando a uma vulnerabilidade XSS. Isso ocorre porque a entrada para dangerouslySetInnerHTML não é sanitizada para os dados dentro das consultas.
Recomendações
Para versões anteriores à 3.31.2, atualize para a versão 3.31.2 para corrigir o problema. Como solução temporária, considere desativar o recurso de destaque dos resultados de pesquisa e o recurso de “sugestão automática de consulta” até que o patch seja aplicado. Restrinja o acesso às funções dangerouslySetInnerHTML e innerHTML para minimizar o risco de exploração. Evite usar essas funções com entradas não confiáveis até que o problema seja resolvido.

Exploit

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-27103
GHSA-3HJM-9277-5C88

Produtos afetados

Querybook