PT-2022-16165
CVE-2022-23656
·
Publicado
2022-03-02
·
Atualizado
2022-03-09
Descrição por
CVSS 3.1
4.6
MédiaMétricasAV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões do Zulip Server de junho de 2021 até o ramo principal anterior a 01/03/2022
Descrição
A vulnerabilidade afeta a página de tópicos recentes do Zulip Server, onde um invasor poderia explorar uma vulnerabilidade de cross-site scripting criando um nome completo malicioso para sua conta e enviando mensagens para um tópico com vários participantes. Se uma vítima abrir uma dica de ferramenta com overflow que inclua esse nome completo, isso poderia acionar a execução de código JavaScript controlado pelo invasor.
Recomendações
Para as versões do Zulip Server de junho de 2021 até o ramo principal antes de 01/03/2022, atualize do ramo principal para uma versão de 01/03/2022 ou posterior para implementar a correção. Como solução alternativa temporária, considere restringir o acesso à página de tópicos recentes ou desativar o recurso de dica de ferramenta com overflow até que a atualização seja aplicada.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾