PT-2022-19248
CVE-2022-28803
·
Publicado
2022-06-29
·
Atualizado
2024-03-06
Descrição por
CVSS 3.1
5.4
MédiaMétricasAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões do SilverStripe Framework anteriores à 4.10.9
SilverStripe Framework até 07/04/2022
Descrição
A vulnerabilidade permite que ocorra um ataque XSS armazenado (Stored XSS) em tags de link JavaScript adicionadas via XMLHttpRequest (XHR). Isso pode ocorrer quando um usuário autenticado do CMS adiciona conteúdo malicioso a um site via XHR, especificamente dentro do atributo href de um hiperlink HTML.
Recomendações
Para versões do SilverStripe Framework anteriores à 4.10.9, atualize para a versão 4.10.9 ou posterior para resolver o problema.
Para o SilverStripe Framework até 07/04/2022, certifique-se de que todas as atualizações até 07/04/2022 estejam aplicadas para mitigar o risco de exploração.
Como solução alternativa temporária, considere restringir o acesso à funcionalidade XHR para usuários autenticados do CMS até que um patch esteja disponível.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾