PT-2024-27340 · Unknown+1 · Suluformbundle+1

Picturestone + 1 · Publicado 2024-06-06 · Atualizado 2024-10-09 · CVE-2024-37156

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do SuluFormBundle anteriores à 2.5.3

Descrição

O SuluFormBundle adiciona suporte para a criação de formulários dinâmicos no Sulu Admin. O parâmetro formName do método get do TokenController não é sanitizado no campo de entrada retornado, o que leva a um ataque XSS.

Recomendações

Para versões anteriores à 2.5.3, atualize para a versão 2.5.3 para corrigir a vulnerabilidade.

Como solução temporária, considere criar um ouvinte de solicitação Symfony personalizado que verifique o valor form do TokenController e interrompa o envio da solicitação, retornando um código de status de erro se o valor não for válido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-80

CWE-79

Identificadores relacionados

CVE-2024-37156

GHSA-RRVC-C7XG-7CF3

Produtos afetados

Suluformbundle

Symfony

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/37xxx/CVE-2024-37156.json · Exploit
• https://github.com/sulu/SuluFormBundle/security/advisories/GHSA-rrvc-c7xg-7cf3 · Aviso do Fabricante
• https://github.com/sulu/SuluFormBundle/commit/3f341b71a7309cbc8fd2c5bff894c654d1679b17 · Correção
• https://github.com/sulu/SuluFormBundle · Nota
• https://twitter.com/VulmonFeeds/status/1798787517228970436 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-rrvc-c7xg-7cf3 · Aviso do Fabricante
• https://t.me/cvenotify/97629 · Publicação no Telegram
• https://t.me/cvenotify/82295 · Publicação no Telegram
• https://t.me/cvenotify/82194 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-37156 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-37156 · Nota de Segurança
• https://twitter.com/linuxpatch/status/1798764333188407388 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1798756663467647154 · Publicação no Twitter