PT-2024-10981 · Chatwoot · Chatwoot
CVE-2021-3741
·
Publicado
2024-11-15
·
Atualizado
2024-11-19
CVSS v3.1
7.8
Alta
| Vetor | AV:A/AC:L/PR:H/UI:R/S:C/C:H/I:L/A:H |
Nome do software vulnerável e versões afetadas
Versões do chatwoot/chatwoot anteriores à 2.6
Descrição
Foi descoberta uma vulnerabilidade de script entre sites (XSS) armazenada, que afeta as configurações de perfil quando um usuário carrega um arquivo SVG contendo uma carga maliciosa de XSS. Quando o avatar é aberto em uma nova página, o código JavaScript personalizado é executado, levando a possíveis riscos de segurança.
Recomendações
Para versões anteriores à 2.6, atualize para a versão mais recente para mitigar os riscos. Como solução temporária, considere restringir o upload de arquivos SVG nas configurações de perfil até que o problema seja resolvido.
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Chatwoot