PT-2024-26125 · Wiki.Js · Wiki.Js

Et43 · Publicado 2024-05-20 · Atualizado 2024-06-05 · CVE-2024-34710

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Wiki.js anteriores à 2.5.303

Descrição

Foi detectada uma vulnerabilidade de injeção de modelo no lado do cliente no Wiki.js, um aplicativo wiki desenvolvido em Node.js. Essa vulnerabilidade poderia permitir que um invasor injetasse código JavaScript malicioso na seção de conteúdo das páginas, o qual seria executado quando a vítima carregasse a página contendo a carga maliciosa. A injeção é possível através do uso de uma tag HTML inválida com uma carga útil de injeção de modelo na linha seguinte.

Recomendações

Para versões anteriores à 2.5.303, atualize para a versão 2.5.303 para resolver o problema. Como solução temporária, considere restringir a capacidade de injetar tags HTML personalizadas na seção de conteúdo das páginas até que a atualização possa ser aplicada.

Exploit

Correção

Enumeração de Fraquezas

CWE-1336

Identificadores relacionados

CVE-2024-34710

GHSA-XJCJ-P2QV-Q3RF

GO-2024-2875

Produtos afetados

Wiki.Js

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/34xxx/CVE-2024-34710.json · Exploit
• https://github.com/requarks/wiki/commit/1238d614e1599fefadd4614ee4b5797a087f50ac · Nota
• https://github.com/requarks/wiki/security/advisories/GHSA-xjcj-p2qv-q3rf · Nota
• https://t.me/pentestingnews/47336 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2024-2875 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-34710 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-34710 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1793522356436304116 · Publicação no Twitter
• https://t.me/cvenotify/80496 · Publicação no Telegram
• https://t.me/cvenotify/80541 · Publicação no Telegram