Vulnerabilidad en OpenRefine (CVE-2024-47882)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

24/10/2024

Última modificación:

28/10/2024

Descripción

OpenRefine es una herramienta gratuita de código abierto para trabajar con datos desordenados. Antes de la versión 3.8.3, la página de error integrada "¡Algo salió mal!" incluye el mensaje de excepción y el seguimiento de la excepción sin etiquetas HTML de escape, lo que permite la inyección en la página si un atacante puede producir de forma fiable un error con un mensaje influenciado por el atacante. Parece que la única forma de llegar a este código en OpenRefine es que un atacante convenza de algún modo a una víctima de que importe un archivo malicioso, lo que puede ser difícil. Sin embargo, las extensiones fuera del árbol pueden añadir sus propias llamadas a `respondWithErrorPage`. La versión 3.8.3 tiene una solución para este problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.10 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno