PT-2024-29529 · Unknown · Backdrop Cms

Laryn Kragt Bakker + 1 · Publicado 2024-07-22 · Atualizado 2024-07-25 · CVE-2024-41709

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Backdrop CMS versões 1.27.3 e anteriores

Backdrop CMS versões 1.28.x anteriores à 1.28.2

Descrição

O problema decorre da sanitização insuficiente dos rótulos dos campos antes de serem exibidos em determinados locais. Isso é mitigado pela exigência de que um invasor tenha uma função com a permissão administer fields.

Recomendações

Para as versões 1.27.3 e anteriores do Backdrop CMS, atualize para a versão 1.27.3 ou posterior.

Para as versões 1.28.x do Backdrop CMS anteriores à 1.28.2, atualize para a versão 1.28.2 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-41709

GHSA-3WMX-48G3-X66G

Produtos afetados

Backdrop Cms

Referências · 10

• https://github.com/backdrop/backdrop/commit/f1dfe710c186fb47c9d949f01f37e5ab42b44030 · Nota
• https://github.com/backdrop/backdrop/commit/c7ff0500705668e3f58263590812872e44059301 · Nota
• https://t.me/cvedetector/1384 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-41709 · Nota de Segurança
• https://t.me/cvenotify/86969 · Publicação no Telegram
• https://backdropcms.org/security/backdrop-sa-core-2024-001 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3wmx-48g3-x66g · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-41709 · Aviso do Fabricante
• https://github.com/backdrop-ops/backdrop-composer · Nota
• https://t.me/cvenotify/87406 · Publicação no Telegram