Файлы — модуль для управления файлами внутри спейсов и профилей пользователей. В версиях 0.16.9 и ниже функция перемещения файлов не содержит логики, предотвращающей внедрение произвольного JavaScript, что может привести к выполнению JS-кода браузера в контексте сеанса пользователя. Это исправлено в версии 0.16.10.
Показать оригинальное описание (EN)
Files is a module for managing files inside spaces and user profiles. In versions 0.16.9 and below, the File Move functionality does not contain logic that prevents injection of arbitrary JavaScript, which can lead to Browser JS code execution in the context of the user’s session. This is fixed in version 0.16.10.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Humhub Files
cpe:2.3:a:humhub:files:*:*:*:*:*:humhub:*:*
|
— |
0.16.10
|
Ссылки 3
https://github.com/humhub/cfiles/commit/f022bdd1cc54334a7a2a6f90a8168bb9583a2f00
security-advisories@github.com
https://github.com/humhub/cfiles/releases/tag/v0.16.10
security-advisories@github.com
https://github.com/humhub/cfiles/security/advisories/GHSA-cw2v-c62w-5r43
security-advisories@github.com