PT-2020-16405

CVE-2020-26287

Publicado

2020-12-28

Atualizado

2020-12-30

Descrição por

CVSS 3.1

8.7

Alta

MétricasAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do HedgeDoc anteriores à 1.7.1

Descrição

A vulnerabilidade permite que um invasor insira tags script arbitrárias em notas do HedgeDoc que utilizem diagramas Mermaid. Embora a política de segurança de conteúdo impeça o carregamento de scripts da maioria dos locais, www.google-analytics.com é permitido, o que pode ser explorado usando o Google Tag Manager para inserir JavaScript arbitrário e executá-lo ao carregar a página. Dependendo da configuração da instância, o invasor pode não precisar de autenticação para criar ou editar notas.

Recomendações

Para versões do HedgeDoc anteriores à 1.7.1, atualize para a versão 1.7.1 para resolver o problema.

Como solução alternativa temporária, considere desativar www.google-analytics.com no cabeçalho Content-Security-Policy para minimizar o risco de exploração.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Alemmi

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados

CVE-2020-26287