PT-2024-34662 · Cobalt · Cobalt

Dumbmoron · Publicado 2024-11-04 · Atualizado 2024-11-05 · CVE-2024-51498

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.0

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:A/VC:L/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Cobalt anteriores à 10.2.1

Descrição

Uma instância maliciosa do Cobalt poderia fornecer links com o protocolo javascript:, resultando em Cross-site Scripting (XSS) quando o usuário tentasse baixar um item de um seletor. Este problema está presente desde o commit 66bac03e e foi mitigado no commit 97977efa para instâncias web configuradas corretamente.

Recomendações

Para versões anteriores à 10.2.1, atualize para a versão 10.2.1 ou posterior para resolver totalmente o problema.

Para usuários que não possam atualizar, habilite uma política de segurança de conteúdo (content-security-policy) como medida de mitigação temporária.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-51498

GHSA-CM4C-V4CM-3735

Produtos afetados

Cobalt

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/51xxx/CVE-2024-51498.json · Exploit
• https://github.com/imputnet/cobalt/commit/c4be1d3a37b0deb6b6087ec7a815262ac942daf1 · Nota
• https://github.com/imputnet/cobalt/commit/97977efabd92375f270d1818f38de3b0682c2f19 · Nota
• https://github.com/imputnet/cobalt/security/advisories/GHSA-cm4c-v4cm-3735 · Nota
• https://github.com/imputnet/cobalt/commit/66bac03e3078e4e781d2d3903c05ad66a883a354 · Nota
• https://twitter.com/VulmonFeeds/status/1853668963852443803 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-51498 · Nota de Segurança
• https://twitter.com/CVEnew/status/1853581163715051998 · Publicação no Twitter
• https://t.me/cvenotify/100608 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-51498 · Aviso do Fabricante
• https://t.me/cvedetector/9805 · Publicação no Telegram