Vulnerabilidad en Confidant (CVE-2024-45793)

Confidant es un servicio de gestión de secretos de código abierto que proporciona almacenamiento y acceso a secretos de forma sencilla. Los siguientes endpoints están sujetos a una vulnerabilidad de cross site scripting: GET /v1/credentials, GET /v1/credentials/, GET /v1/archive/credentials/, GET /v1/archive/credentials, POST /v1/credentials, PUT /v1/credentials/, PUT /v1/credentials//, GET /v1/services, GET /v1/services/, GET /v1/archive/services/, GET /v1/archive/services, PUT /v1/services/, PUT /v1/services//. El atacante debe estar autenticado y tener privilegios para crear nuevas credenciales, pero podría utilizar esto para mostrar información y ejecutar secuencias de comandos a otros usuarios en la misma instancia de Confidant. Este problema se ha corregido en la versión 6.6.2. Se recomienda a todos los usuarios que actualicen la versión. No existen workarounds para esta vulnerabilidad.