PT-2022-24239

CVE-2022-38147

Publicado

2022-11-21

Atualizado

2024-10-06

Descrição por

CVSS 3.1

5.4

Média

MétricasAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Silverstripe silverstripe/framework versões 4.11 e anteriores

Descrição

A vulnerabilidade permite ataques XSS. Um autor de conteúdo malicioso poderia enviar um arquivo GPX contendo um código JavaScript malicioso. Esse código poderia então ser executado ao induzir um usuário legítimo a visualizar o arquivo em um navegador compatível com arquivos GPX. GPX é um formato baseado em XML usado para armazenar dados de GPS.

Recomendações

Para as versões 4.11 e anteriores, considere desativar o upload de arquivos GPX para a área de ativos como uma solução temporária até que um patch esteja disponível. Por padrão, o Silverstripe CMS não permitirá mais que arquivos GPX sejam enviados para a área de ativos; portanto, garantir que essa configuração padrão esteja em vigor pode ajudar a mitigar o risco.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Nhienit

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados

CVE-2022-38147