PT-2024-22333 · Phlex · Phlex

P8 · Publicado 2024-03-11 · Atualizado 2024-03-13 · CVE-2024-28199

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

phlex, versões 1.0.0 a 1.9.0

Descrição

O phlex é uma estrutura de código aberto para a criação de visualizações orientadas a objetos em Ruby. Existe uma vulnerabilidade potencial de cross-site scripting (XSS) que pode ser explorada por meio de dados de usuário criados de forma maliciosa. Isso ocorreu devido a uma sensibilidade inadequada a maiúsculas e minúsculas no código que deveria impedir esses ataques. Se você renderizar uma tag <a> com um atributo href definido para um link fornecido pelo usuário, esse link poderá executar JavaScript quando clicado por outro usuário. Se você expandir atributos fornecidos pelo usuário ao renderizar qualquer tag HTML, atributos de evento maliciosos poderão ser incluídos na saída, executando JavaScript quando os eventos forem acionados por outro usuário.

Recomendações

Para as versões 1.0.0 a 1.9.0, atualize para uma versão corrigida disponível no RubyGems.

Como solução temporária, considere configurar uma política de segurança de conteúdo que não permita unsafe-inline.

Restrinja o acesso a atributos e links fornecidos pelo usuário para minimizar o risco de exploração.

Evite usar dados fornecidos pelo usuário em tags HTML até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-28199

GHSA-242P-4V39-2V8G

Produtos afetados

Phlex

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/28xxx/CVE-2024-28199.json · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/phlex/CVE-2024-28199.yml · Exploit
• https://github.com/phlex-ruby/phlex/commit/aa50c604cdee1d0ce7ef068a4c66cbd5d43f96a1 · Correção
• https://github.com/phlex-ruby/phlex/security/advisories/GHSA-242p-4v39-2v8g · Aviso do Fabricante
• https://github.com/phlex-ruby/phlex · Nota
• https://twitter.com/cracbot/status/1767602888992317689 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-28199 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1767347288995700763 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-28199 · Aviso do Fabricante
• https://twitter.com/rubylandnews/status/1768084707638432214 · Publicação no Twitter
• https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy · Nota
• https://osv.dev/vulnerability/GHSA-242p-4v39-2v8g · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1767328623449563317 · Publicação no Twitter
• https://twitter.com/it_malibu/status/1768106286670029083 · Publicação no Twitter
• https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy#unsafe-inline · Nota