PT-2022-27578 · Joget · Joget
CVE-2022-4560
·
Publicado
2022-12-16
·
Atualizado
2024-05-17
CVSS v3.1
3.5
Baixa
| Vetor | AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do Joget até a 7.0.31
Descrição
Foi encontrada uma vulnerabilidade na função
getInternalJsCssLib do arquivo wflow-core/src/main/java/org/joget/plugin/enterprise/UniversalTheme.java do componente wflow-core. A manipulação do argumento key leva a um ataque de cross-site scripting. O ataque pode ser iniciado remotamente.Recomendações
Para versões do Joget até 7.0.31, atualize para a versão 7.0.32 para resolver este problema. Como solução temporária, considere restringir o acesso à função
getInternalJsCssLib até que o patch seja aplicado. Evite manipular o argumento key no componente afetado para minimizar o risco de exploração.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Joget