Vulnerabilidad en el campo "Private Note" en el endpoint "/adherents/note.php?id=1" en el módulo Editor WYSIWYG en Dolibarr ERP CRM (CVE-2021-25955)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

15/08/2021

Última modificación:

01/08/2022

Descripción

En "Dolibarr ERP CRM", el módulo Editor WYSIWYG, versiones v2.8.1 a v13.0.2 están afectados por una vulnerabilidad de tipo XSS almacenado que permite a usuarios de la aplicación con pocos privilegios almacenar scripts maliciosos en el campo "Private Note" en el endpoint "/adherents/note.php?id=1". Estos scripts son ejecutados en el navegador de la víctima cuando ésta abre la página que contiene el campo vulnerable. En el peor de los casos, la víctima que desencadena inadvertidamente el ataque es un administrador con muchos privilegios. Los scripts inyectados pueden extraer el ID de la Sesión, lo que puede conllevar a una toma de posesión de la Cuenta completa del administrador y, debido a otra vulnerabilidad (Control de Acceso Inapropiado en las notas Privadas), un usuario poco privilegiados puede actualizar las notas privadas, que podría conllevar a una escalada de privilegios.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.00 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

9.00

Gravedad 3.x

CRÍTICA

Vector 2.0

AV:N/AC:M/Au:S/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 3.50 BAJA
Vector: AV:N/AC:M/Au:S/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno