PT-2020-3649
CVE-2020-12137
·
Publicado
2020-04-24
·
Atualizado
2022-11-16
Descrição por
CVSS 3.1
6.1
MédiaMétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
GNU Mailman, versões 2.x a 2.1.29
A versão 2.1.30 do GNU Mailman não é afetada, mas todas as versões anteriores à 2.1.30 estão vulneráveis.
Descrição
O problema está relacionado ao tratamento de partes MIME no GNU Mailman, o que pode contribuir para ataques de cross-site scripting (XSS) contra visitantes de arquivos de listas. Isso ocorre porque uma resposta HTTP de um servidor web de arquivos pode não conter um tipo MIME, levando um navegador web a realizar MIME sniffing e, potencialmente, executar código JavaScript. A vulnerabilidade também está relacionada à falta de proteção da estrutura da página web, o que poderia permitir que um invasor remoto comprometesse a integridade dos dados.
Recomendações
Para as versões 2.x a 2.1.29 do GNU Mailman, atualize para a versão 2.1.30 ou posterior para resolver o problema.
Como solução temporária, considere restringir o acesso aos arquivos de listas para minimizar o risco de exploração.
Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾