PT-2020-14329
CVE-2020-15271
·
Publicado
2020-10-26
·
Atualizado
2020-11-13
Descrição por
CVSS 4.0
9.3
CríticaMétricasAV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
Nome do software vulnerável e versões afetadas
Versões do lookatme anteriores à 2.3.0
Descrição
O problema afeta usuários que renderizam arquivos Markdown não confiáveis com o lookatme, permitindo potencialmente que comandos shell maliciosos sejam executados automaticamente em seus sistemas. Isso se deve ao carregamento automático das extensões integradas “terminal” e “file loader” nas versões afetadas.
Recomendações
Para versões anteriores à 2.3.0, atualize para a versão 2.3.0 ou superior.
Como solução temporária, considere excluir manualmente os arquivos
lookatme/contrib/terminal.py e lookatme/contrib/file loader.py.Também é recomendável estar atento ao que está sendo renderizado com o lookatme para minimizar riscos potenciais.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾