PT-2024-30175 · Unknown · Fastapi-Admin

Aprilliar13 · Publicado 2024-08-26 · Atualizado 2024-08-30 · CVE-2024-42816

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

fastapi-admin pro versão 0.1.4

Descrição

Uma vulnerabilidade de script entre sites (XSS) na função “Criar produto” permite que invasores executem scripts da web ou HTML arbitrários por meio de uma carga maliciosa injetada no parâmetro Nome do produto.

Recomendações

Para a versão 0.1.4, considere desativar a função “Criar produto” até que uma correção esteja disponível.

Como solução temporária, restrinja o uso do parâmetro Nome do produto na função “Criar produto” para minimizar o risco de exploração.

Atualize para a versão 0.1.5 para corrigir o problema.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-42816

GHSA-22XM-W7R2-834Q

Produtos afetados

Fastapi-Admin

Referências · 10

• https://github.com/fastapi-admin/fastapi-admin/issues/172 · Nota
• https://github.com/fastapi-admin/fastapi-admin · Nota
• https://t.me/cvedetector/4179 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-42816 · Nota de Segurança
• https://twitter.com/CVEnew/status/1828111007559946410 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-22xm-w7r2-834q · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-42816 · Aviso do Fabricante
• https://twitter.com/transilienceai/status/1829585333677113439 · Publicação no Twitter
• https://fastapi-admin-pro.long2ice.io/admin/login · Nota
• https://twitter.com/transilienceai/status/1829585327649898882 · Publicação no Twitter