PT-2024-36801 · Unknown · Grist-Core

Spawnzii + 1 · Publicado 2024-12-20 · Atualizado 2024-12-20 · CVE-2024-56359

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do grist-core anteriores à 1.3.2

Descrição

O problema ocorre quando um usuário acessa um documento malicioso e clica em um link em uma célula HyperLink usando um modificador de teclado, como Ctrl+clique. Isso pode levar ao comprometimento da conta, pois o link pode utilizar o esquema javascript: e ser executado no contexto da página atual.

Recomendações

Para versões anteriores à 1.3.2, atualize para a versão 1.3.2 ou posterior para resolver o problema.

Como solução alternativa temporária para usuários que não possam atualizar, evite clicar em links de células HyperLink usando um modificador de controle em documentos criados por pessoas em quem não confia.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-56359

GHSA-QV69-5CJ2-53R9

Produtos afetados

Grist-Core

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/56xxx/CVE-2024-56359.json · Exploit
• https://github.com/gristlabs/grist-core/security/advisories/GHSA-qv69-5cj2-53r9 · Aviso do Fabricante
• https://github.com/gristlabs/grist-core/commit/a792bdc43b456dbdd6fdc50d8747f4c349fab2f4 · Correção
• https://twitter.com/CVEnew/status/1870207756361138519 · Publicação no Twitter
• https://t.me/cvedetector/13465 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-56359 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-56359 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1870231622122954787 · Publicação no Twitter