PT-2021-23140

CVE-2021-41163

Publicado

2021-10-20

Atualizado

2024-03-06

Descrição por

CVSS 3.1

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Discourse versões 2.7.8 e anteriores

Descrição

O Discourse é uma plataforma de código aberto para discussões em comunidades. Nas versões afetadas, solicitações criadas com intenção maliciosa podem levar à execução remota de código. Isso decorre de uma falta de validação nos valores de subscribe url. Estima-se que cerca de 14.300 sites estejam potencialmente vulneráveis, com 8.639 sistemas potencialmente vulneráveis localizados nos EUA.

Recomendações

Para resolver o problema, atualize para a versão 2.7.9 ou posterior.

Como solução alternativa temporária, considere bloquear solicitações com um caminho que comece com /webhooks/aws em um proxy upstream.

Explorabilidade

Correção

Impactos

Pesquisadores

Joernchen

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component (\'Injection\')