Vulnerabilidad en el campo writer de Kirby (CVE-2021-41252)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

16/11/2021

Última modificación:

18/11/2021

Descripción

Kirby es un CMS estructurado por archivos de código abierto ### Impacto: El campo writer de Kirby almacena su contenido formateado como código HTML. A diferencia de otros tipos de campo, no es posible escapar los caracteres especiales de HTML contra ataques de tipo cross-site scripting (XSS), de lo contrario el formato se perdería. Si el usuario ha iniciado sesión en el Panel, un script dañino puede, por ejemplo, lanzar peticiones a la API de Kirby con los permisos de la víctima. Como el campo writer no saneaba su contenido de forma segura al guardarlo, era posible inyectar código HTML malicioso en el archivo de contenido al enviarlo a la API de Kirby directamente sin usar el Panel. Este código HTML malicioso se mostraría entonces en el frontend del sitio y sería ejecutado en los navegadores de visitantes del sitio y de usuarios registrados que estuvieran navegando por el sitio. Los atacantes deben estar en su grupo de usuarios autenticados del Panel para poder explotar esta debilidad. Los usuarios que no hacen uso del campo writer no están afectados. Este problema ha sido parcheado en Kirby versión 3.5.8 saneando todo el contenido del campo escritor en el backend siempre que el contenido sea modificado por medio de la API de Kirby. Por favor, actualice a esta versión o a una posterior para solucionar la vulnerabilidad

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.40

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:H/Au:S/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 2.10 BAJA
Vector: AV:N/AC:H/Au:S/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno