Vulnerabilidad en app.wire.com en wire-webapp (CVE-2021-32683)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

15/06/2021

Última modificación:

23/06/2021

Descripción

wire-webapp es la versión web de Wire, un mensajero de código abierto. Se presenta una vulnerabilidad de tipo cross-site scripting en wire-webapp antes del 01-06-2021-production.0. Si un usuario es instruido para abrir una imagen una nueva pestaña (clic derecho -) abrir en nueva pestaña, o copiar la URL y pegarla en la barra de URL), es ejecutado una carga útil de la imagen el dominio que aloja la aplicación (app.wire.com). En particular, si una imagen contiene código malicioso además de la imagen real, este código es ejecutado en app.wire.com. Esto permite al atacante controlar completamente la cuenta del usuario. La vulnerabilidad fue parcheada en versiones del 01-06-2021-production.0. Como solución, los usuarios no deberían intentar abrir las URL de las imágenes

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.10 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.10

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:M/Au:N/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: AV:N/AC:M/Au:N/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno