Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el archivo XMLLanguageService.java en XML Language Server, usado en Red Hat XML Language Support para Visual Studio y otros productos (CVE-2019-18212)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
23/10/2019
Última modificación:
30/10/2019

Descripción

El archivo XMLLanguageService.java en XML Language Server (también se conoce como lsp4xml) versiones anteriores a 0.9.1, como es usado en Red Hat XML Language Support (también se conoce como vscode-xml) versiones anteriores a 0.9.1 para Visual Studio y otros productos, permite que un atacante remoto escriba en archivos arbitrarios por medio de salto de directorio.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:xml_language_server_project:xml_server_project:*:*:*:*:*:*:*:* 0.9.1 (excluyendo)
cpe:2.3:a:eclipse:wild_web_developer:-:*:*:*:*:*:*:*
cpe:2.3:a:theia_xml_extension_project:theia_xml_extension:-:*:*:*:*:*:*:*