PT-2024-29491 · Vnote · Vnote

Sh3Bu · Publicado 2024-07-24 · Atualizado 2024-10-03 · CVE-2024-41662

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

VNote versões 3.18.1 e anteriores

Descrição

Foi identificada uma vulnerabilidade de Cross-Site Scripting (XSS) na funcionalidade de renderização de Markdown do aplicativo de anotações VNote. Esse problema permite a injeção e execução de código JavaScript arbitrário, possibilitando a execução remota de código.

Recomendações

Para as versões 3.18.1 e anteriores, atualize para uma versão que inclua o patch disponível no commit f1af78573a0ef51d6ef6a0bc4080cddc8f30a545.

Como solução alternativa temporária, considere implementar uma sanitização rigorosa de entradas para todo o conteúdo Markdown.

Restrinja o uso de conteúdo Markdown potencialmente perigoso utilizando um analisador Markdown seguro que escape ou remova adequadamente esse conteúdo.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-41662

GHSA-W655-H68W-VXXC

Produtos afetados

Vnote

Referências · 9

• 🔥 https://github.com/vnotex/vnote/security/advisories/GHSA-w655-h68w-vxxc · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/41xxx/CVE-2024-41662.json · Exploit
• https://github.com/vnotex/vnote/commit/f1af78573a0ef51d6ef6a0bc4080cddc8f30a545 · Correção
• https://t.me/cvenotify/87365 · Publicação no Telegram
• https://t.me/thedarkwebinformer/1868 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-41662 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-41662 · Nota de Segurança
• https://t.me/cvenotify/96888 · Publicação no Telegram
• https://t.me/cvedetector/1577 · Publicação no Telegram