PT-2024-3100 · Antisamy+1 · Antisamy+1

Leen · Publicado 2024-02-02 · Atualizado 2025-11-25 · CVE-2024-23635

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.4

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões do AntiSamy anteriores à 1.7.5

Descrição

O problema está relacionado a uma vulnerabilidade de XSS de mutação (mXSS) no AntiSamy causada por uma análise incorreta do HTML que está sendo sanitizado. Essa vulnerabilidade pode ser explorada quando a diretiva preserveComments está habilitada no arquivo de política, permitindo que certas entradas maliciosas façam com que elementos em tags de comentário sejam interpretados como executáveis.

Recomendações

Para versões anteriores à 1.7.5, atualize para o AntiSamy 1.7.5 ou posterior para resolver o problema.

Como solução temporária, edite manualmente o arquivo de política do AntiSamy excluindo a diretiva preserveComments ou definindo seu valor como false, se estiver presente.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2024-03300

CVE-2024-23635

GHSA-2MRQ-W8PV-5PVQ

Produtos afetados

Antisamy

Debian

Referências · 21

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/23xxx/CVE-2024-23635.json · Exploit
• https://github.com/nahsra/antisamy/security/advisories/GHSA-2mrq-w8pv-5pvq · Nota
• https://github.com/nahsra/antisamy/commit/3e84410ed06ab67f0a4cc3183c67528210f4847d · Nota
• https://github.com/nahsra/antisamy · Nota
• https://github.com/nahsra/antisamy/commit/12a2e31d3855430c119480655c2bbbbb79a66ecd · Nota
• https://osv.dev/vulnerability/GHSA-2mrq-w8pv-5pvq · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2024-23635 · Nota de Segurança
• https://twitter.com/RedPacketSec/status/1754808399953371384 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-23635 · Aviso do Fabricante
• https://t.me/cvenotify/70910 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-23635 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2024-23635 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-23635 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1753461450176098644 · Publicação no Twitter
• https://t.me/cvenotify/69852 · Publicação no Telegram