PT-2021-19825
CVE-2021-32641
·
Publicado
2021-06-04
·
Atualizado
2021-06-16
Descrição por
CVSS 3.1
8.1
AltaMétricasAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
auth0-lock versões 11.30.0 e anteriores
Descrição
O problema diz respeito a um ataque XSS refletido. Um invasor pode executar código arbitrário quando o recurso
flashMessage da biblioteca é utilizado e a entrada do usuário ou dados de parâmetros de URL são incorporados ao flashMessage, ou quando o recurso languageDictionary da biblioteca é utilizado e a entrada do usuário ou dados de parâmetros de URL são incorporados ao languageDictionary.Recomendações
Para as versões 11.30.0 e anteriores, atualize para a versão 11.30.1 para resolver o problema. Como solução alternativa temporária, considere desativar os recursos
flashMessage e languageDictionary até que um patch esteja disponível. Restrinja o acesso à entrada do usuário ou aos dados dos parâmetros da URL nesses recursos para minimizar o risco de exploração.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾