PT-2024-28949 · Unknown · Prosemirror

Rskvp93 · Publicado 2024-07-16 · Atualizado 2026-01-28 · CVE-2024-40626

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Outline anteriores à 0.77.3

Descrição

Um problema de confusão de tipos no processo de renderização do ProseMirror leva a uma vulnerabilidade de tipo Stored Cross-Site Scripting (XSS). Um usuário autenticado pode criar um documento com uma carga maliciosa de JavaScript, que pode ser executada quando outros usuários visualizam o documento. O problema pode contornar as restrições da Política de Segurança de Conteúdo (CSP) em ambientes auto-hospedados com armazenamento de arquivos no mesmo domínio.

Recomendações

Para versões anteriores à 0.77.3, atualize para a versão 0.77.3 para resolver o problema.

Exploit

Correção

DoS

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-40626

GHSA-888C-MVG8-V6WH

Produtos afetados

Prosemirror

Referências · 8

• 🔥 https://github.com/outline/outline/security/advisories/GHSA-888c-mvg8-v6wh · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/40xxx/CVE-2024-40626.json · Exploit
• https://twitter.com/dailycve/status/2016539464126824452 · Publicação no Twitter
• https://t.me/cybersecuritytechnologies/10860 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-40626 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-40626 · Aviso do Fabricante
• https://t.me/cveNotify/138158 · Publicação no Telegram
• https://t.me/cvedetector/982 · Publicação no Telegram