PT-2021-22472

CVE-2021-39221

Publicado

2021-10-25

Atualizado

2021-10-27

Descrição por

CVSS 3.1

6.4

Média

MétricasAV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Nextcloud Contacts anteriores à 4.0.3

Descrição

O aplicativo Nextcloud Contacts está vulnerável a uma falha de Cross-Site Scripting (XSS) armazenada. Para explorar essa vulnerabilidade, o usuário deve clicar com o botão direito do mouse em um arquivo malicioso e abri-lo em uma nova guia. No entanto, devido à rigorosa Política de Segurança de Conteúdo (Content-Security-Policy) do Nextcloud, essa vulnerabilidade não pode ser explorada em navegadores modernos que suportam a Política de Segurança de Conteúdo.

Recomendações

Para versões anteriores à 4.0.3, atualize o aplicativo Nextcloud Contacts para a versão 4.0.3.

Como solução temporária, considere usar um navegador que suporte a Política de Segurança de Conteúdo para minimizar o risco de exploração.

Explorabilidade

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-434: Unrestricted Upload of File with Dangerous Type

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')