Vulnerabilidad en los valores en el motor de plantillas (CVE-2021-41170)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
08/11/2021
Última modificación:
17/11/2021
Descripción
neoan3-apps/template es un motor de plantillas mínimo de neoan3. Las versiones anteriores a la 1.1.1 han permitido pasar cierres directamente al motor de plantillas. Como resultado, los valores que son invocables son ejecutados por el motor de plantillas. El problema surge si un valor tiene el mismo nombre que un método o función en el ámbito y, por lo tanto, puede ser ejecutado por error o maliciosamente. En teoría, todos los usuarios del paquete se ven afectados siempre y cuando traten con entradas directas del usuario o con valores de la base de datos. Por lo tanto, es plausible un ataque en varios pasos. La versión 1.1.1 ha solucionado esta vulnerabilidad. Lamentablemente, en las versiones anteriores sólo es seguro trabajar con valores codificados. Dado que esto probablemente anula el propósito de un motor de plantillas, por favor, actualice
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Puntuación base 2.0
7.50
Gravedad 2.0
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:neoan:neoan3-template:*:*:*:*:*:*:*:* | 1.1.1 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página