PT-2020-13219
CVE-2020-12707
·
Publicado
2020-05-07
·
Atualizado
2020-05-08
Descrição por
CVSS 3.1
6.1
MédiaMétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
LeptonCMS versão 4.5.0
Descrição
Existe uma falha de segurança devido à proteção insuficiente contra ataques de cross-site scripting (XSS) no arquivo
modules/wysiwyg/save.php. A medida de segurança atual remove apenas os elementos SCRIPT, o que pode ser contornado usando manipuladores de eventos HTML para executar código JavaScript. Isso permite que um agente mal-intencionado execute JavaScript sem depender dos elementos SCRIPT.Recomendações
Para a versão 4.5.0 do LeptonCMS, considere desativar o arquivo
save.php no diretório modules/wysiwyg como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a este arquivo para minimizar o risco de exploração. Evite usar manipuladores de eventos HTML neste contexto até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾