PT-2024-24591 · Phlex · Phlex
Gregmolnar
·
Publicado
2024-04-17
·
Atualizado
2024-05-18
·
CVE-2024-32463
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do phlex anteriores à 1.10.1
versões do phlex anteriores à 1.9.2
versões do phlex anteriores à 1.8.3
versões do phlex anteriores à 1.7.2
versões do phlex anteriores à 1.6.3
versões do phlex anteriores à 1.5.3
versões do phlex anteriores à 1.4.2
Descrição
Existe uma vulnerabilidade potencial de cross-site scripting (XSS) que pode ser explorada por meio de dados de usuário criados de forma maliciosa. O filtro para detectar e impedir o uso do esquema de URL
javascript: no atributo href de uma tag <a> poderia ser contornado com os caracteres de tabulação t ou de nova linha entre os caracteres do protocolo, por exemplo, javatscript:. Se você renderizar uma tag <a> com um atributo href definido para um link fornecido pelo usuário, esse link poderá executar JavaScript quando clicado por outro usuário.Recomendações
Para versões anteriores à 1.10.1, atualize para a versão 1.10.1.
Para versões anteriores à 1.9.2, atualize para a versão 1.9.2.
Para versões anteriores à 1.8.3, atualize para a versão 1.8.3.
Para versões anteriores à 1.7.2, atualize para a versão 1.7.2.
Para versões anteriores à 1.6.3, atualize para a versão 1.6.3.
Para versões anteriores à 1.5.3, atualize para a versão 1.5.3.
Para versões anteriores à 1.4.2, atualize para a versão 1.4.2.
Como solução temporária, considere configurar uma Política de Segurança de Conteúdo que não permita
unsafe-inline para impedir que essa vulnerabilidade seja explorada.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Phlex