BigBlueButton — это виртуальный класс с открытым исходным кодом. В версиях до 3.0.19 воспроизведение записи (формат презентации) не очищало ввод пользователя в общедоступном чате. Это позволило злоумышленнику создать и провести целевую XSS-атаку, активируемую на любом, кто воспроизводит запись.
Эта проблема исправлена в версии 3.0.19.
Показать оригинальное описание (EN)
BigBlueButton is an open-source virtual classroom. In versions prior to 3.0.19, the recording playback (presentation format) was not sanitizing user's input in public chat. This allowed for a malicious actor to craft and carry out a targeted XSS attack, activated on anyone replaying the recording. This issue has been fixed 3.0.19.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Ссылки 5
https://github.com/bigbluebutton/bbb-playback/commit/09e89bfe4ff8488b68c3ff040d…
security-advisories@github.com
https://github.com/bigbluebutton/bigbluebutton/commit/69f45aa1b963dc7d80179d015…
security-advisories@github.com
https://github.com/bigbluebutton/bigbluebutton/releases/tag/v3.0.19
security-advisories@github.com
https://github.com/bigbluebutton/bigbluebutton/security/advisories/GHSA-8vv7-vj…
security-advisories@github.com
https://github.com/blindsidenetworks/scalelite/releases/tag/v1.7.0
security-advisories@github.com