PT-2024-34794 · Eclipse · Eclipse Ditto

Manuel Sommer + 1 · Publicado 2024-05-23 · Atualizado 2025-01-31 · CVE-2024-5165

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões 3.0.0 a 3.5.5 do Eclipse Ditto

Descrição

As entradas do usuário em vários campos de entrada da interface do usuário do Eclipse Ditto Explorer não foram devidamente neutralizadas, tornando-a vulnerável a ataques XSS (Cross Site Scripting) tanto refletidos quanto armazenados. Várias entradas não eram persistidas no backend do Eclipse Ditto, mas apenas no armazenamento local do navegador, resultando em uma vulnerabilidade de XSS refletido. No entanto, várias outras entradas eram persistidas no backend do Eclipse Ditto, levando a uma vulnerabilidade de XSS armazenado. Isso significa que usuários autenticados e autorizados no Eclipse Ditto podem persistir itens no Ditto, o que pode fazer com que scripts sejam executados no navegador de outros usuários ao serem exibidos.

Recomendações

Para as versões 3.0.0 a 3.5.5 do Eclipse Ditto, atualize para uma versão que neutralize adequadamente as entradas do usuário para evitar vulnerabilidades de XSS refletido e armazenado.

Como solução temporária, considere restringir o acesso à interface de usuário do Eclipse Ditto Explorer para minimizar o risco de exploração.

Evite usar os campos de entrada vulneráveis na interface de usuário do Eclipse Ditto Explorer até que o problema seja resolvido.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-5165

GHSA-HJFC-6JXR-J2RX

Produtos afetados

Eclipse Ditto

Referências · 20

• https://github.com/eclipse-ditto/ditto/commit/20399a0ab9ef219c7833c24cf8140ddfb298788d · Nota
• https://github.com/eclipse-ditto/ditto/commit/9d1bac36ca7be94516635ef71eedfea6df1e77f4 · Nota
• https://github.com/eclipse-ditto/ditto/commit/cce2e961db08b5d591ef34920c61a0f7e7d810e4 · Nota
• https://github.com/eclipse-ditto/ditto · Nota
• https://github.com/eclipse-ditto/ditto/commit/8fe1b3b9e0e2c333856dc166c8c3c7d2027c856d · Nota
• https://gitlab.eclipse.org/security/vulnerability-reports/-/issues/204 · Aviso do Fabricante
• https://gitlab.eclipse.org/security/vulnerability-reports/-/issues/207 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-5165 · Aviso do Fabricante
• https://t.me/cvenotify/80846 · Publicação no Telegram
• https://eclipse.dev/ditto/release_notes_345.html · Nota
• https://gitlab.eclipse.org/security/cve-assignement/-/issues/23 · Aviso do Fabricante
• https://gitlab.eclipse.org/security/vulnerability-reports/-/issues/210 · Aviso do Fabricante
• https://gitlab.eclipse.org/security/vulnerability-reports/-/issues/209 · Aviso do Fabricante
• https://gitlab.eclipse.org/security/vulnerability-reports/-/issues/211 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-hjfc-6jxr-j2rx · Aviso do Fabricante