PT-2024-40325 · Unknown · Invenio-Communities

Publicado 2024-06-12 · Atualizado 2024-06-12

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Invenio-Communities anteriores à 2.8.11

Versões do Invenio-Communities anteriores à 4.2.2

Versões do Invenio-Communities anteriores à 7.8.0

Descrição

Foi identificada uma vulnerabilidade de Cross-Site Scripting (XSS) em determinados componentes React relacionados aos membros da comunidade no módulo Invenio-Communities. Essa vulnerabilidade permite que um usuário insira uma tag de script no campo Afiliações durante o processo de registro da conta. O script malicioso é executado quando o usuário cria uma nova comunidade e é listado como membro público, permitindo potencialmente que o invasor acesse informações pessoais, como cookies, dos usuários visitantes.

Recomendações

Para versões anteriores à 2.8.11, atualize para a versão 2.8.11 ou posterior.

Para versões anteriores à 4.2.2, atualize para a versão 4.2.2 ou posterior.

Para versões anteriores à 7.8.0, atualize para a versão 7.8.0 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

GHSA-HJX6-F647-MVF9

Produtos afetados

Invenio-Communities

Referências · 7

• https://github.com/inveniosoftware/invenio-communities/commit/b89442c9d57421a88dd0aa89a404ba89d1a22cac · Nota
• https://github.com/inveniosoftware/invenio-communities/commit/6a47db9404c51134634b3905f62f612b4a976698 · Nota
• https://github.com/inveniosoftware/invenio-communities · Nota
• https://github.com/inveniosoftware/invenio-communities/commit/817b8208f5ce262f45eab32832d90b80dc7d3fce · Nota
• https://github.com/inveniosoftware/invenio-communities/security/advisories/GHSA-hjx6-f647-mvf9 · Nota
• https://github.com/inveniosoftware/invenio-communities/commit/4424dd5112818992b82ae42d4c4f89089502b35f · Nota
• https://osv.dev/vulnerability/GHSA-hjx6-f647-mvf9 · Aviso do Fabricante