Vulnerabilidad en Twisted (CVE-2022-39348)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

26/10/2022

Última modificación:

25/11/2024

Descripción

Twisted es un framework basado en eventos para aplicaciones de Internet. Comenzó con la versión 0.9.4, cuando el encabezado del host no coincide con un host configurado "twisted.web.vhost.NameVirtualHost" devolverá un recurso "NoResource" que hace que el encabezado del Host no sea escondido en la respuesta 404 permitiendo la inyección de HTML y scripts. En la práctica esto debería ser muy difícil de explotar ya que ser capaz de modificar el encabezado Host de una petición HTTP normal implica que uno ya está en una posición privilegiada. Este problema ha sido corregido en versión 22.10.0rc1. No se presenta mitigaciones conocidas

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno