Vulnerabilidad en la funcionalidad "additional signup fields" en Auth0 (CVE-2022-29172)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

05/05/2022

Última modificación:

07/11/2023

Descripción

Auth0 es un broker de autenticación que soporta proveedores de identidad social y empresarial, incluyendo Active Directory, LDAP, Google Apps y Salesforce. En las versiones anteriores a "11.33.0", cuando la funcionalidad "additional signup fields" [está configurada] (https://github.com/auth0/lock#additional-sign-up-fields), un actor malicioso puede inyectar código HTML inválido en estos campos adicionales, que luego es almacenado en la carga útil del servicio "user_metdata" (usando la propiedad "name"). Los correos electrónicos de verificación, cuando son aplicados, son generados usando estos metadatos. Por lo tanto, es posible que un actor diseñe un enlace malicioso inyectando HTML, que luego es presentado como el nombre del destinatario dentro de la plantilla de correo electrónico entregada. Esta vulnerabilidad le afecta si usa la versión "auth0-lock" o inferior y usa la funcionalidad de "additional signup fields" en su aplicación. Actualice a versión "11.33.0"

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.10 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.10

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:H/Au:N/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 2.60 BAJA
Vector: AV:N/AC:H/Au:N/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno