XSS armazenado via upload de arquivo .svg em causefx/organizr
Plataforma
other
Componente
organizr
Corrigido em
2.1.1810
A vulnerabilidade CVE-2022-1345 é uma falha de Cross-Site Scripting (XSS) armazenada presente no Organizr, uma ferramenta de gerenciamento de projetos. Um atacante pode explorar essa falha ao enviar um arquivo .svg malicioso, permitindo a execução de scripts arbitrários no navegador de outros usuários. Essa vulnerabilidade afeta versões do Organizr anteriores à 2.1.1810 e foi corrigida nessa versão.
Impacto e Cenários de Ataque
A exploração bem-sucedida da vulnerabilidade XSS em Organizr pode ter consequências graves. Um atacante pode injetar scripts maliciosos que são executados no contexto do navegador da vítima, permitindo o roubo de cookies de sessão, a redirecionamento para sites maliciosos e a execução de ações em nome do usuário. Em cenários mais avançados, um atacante pode obter acesso a informações confidenciais armazenadas no Organizr, como dados de projetos, credenciais de usuários e informações financeiras. A vulnerabilidade é particularmente perigosa em ambientes onde o Organizr é usado para gerenciar informações sensíveis ou para coordenar equipes de trabalho.
Contexto de Exploração
A vulnerabilidade CVE-2022-1345 foi divulgada em 13 de abril de 2022. Não há evidências públicas de exploração ativa em campanhas direcionadas, mas a natureza da vulnerabilidade XSS a torna um alvo atraente para ataques oportunistas. A ausência de um KEV listing indica um nível de risco moderado, mas a facilidade de exploração exige atenção imediata.
Quem Está em Riscotraduzindo…
Organizations and individuals utilizing Organizr in their workflows, particularly those who rely on the application for data management or collaboration, are at risk. This includes developers, project managers, and anyone who interacts with the GitHub repository. Shared hosting environments where multiple users have upload privileges are particularly vulnerable.
Passos de Detecçãotraduzindo…
• other / generic web:
curl -I 'https://your-organizr-instance/path/to/uploaded_file.svg' | grep -i 'content-security-policy'• generic web:
grep -r '<script>' /var/log/apache2/access.log• generic web:
grep -r '<script>' /var/log/nginx/error.logLinha do Tempo do Ataque
- Disclosure
disclosure
- Patch
patch
Inteligência de Ameaças
Status do Exploit
EPSS
0.33% (percentil 56%)
Vetor CVSS
O que significam essas métricas?
- Attack Vector
- Rede — explorável remotamente pela internet. Sem acesso físico ou local necessário.
- Attack Complexity
- Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
- Privileges Required
- Baixo — qualquer conta de usuário válida é suficiente.
- User Interaction
- Necessária — a vítima deve abrir um arquivo, clicar em um link ou visitar uma página.
- Scope
- Alterado — o ataque pode pivotar para além do componente vulnerável.
- Confidentiality
- Alto — perda total de confidencialidade. O atacante pode ler todos os dados.
- Integrity
- Alto — o atacante pode escrever, modificar ou excluir qualquer dado.
- Availability
- Alto — falha completa ou esgotamento de recursos. Negação de serviço total.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Reservado
- Publicada
- Modificada
- EPSS atualizado
Mitigação e Soluções Alternativas
A mitigação primária para a vulnerabilidade CVE-2022-1345 é a atualização imediata para a versão 2.1.1810 ou superior do Organizr. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como a desativação temporária do upload de arquivos .svg ou a implementação de um filtro de conteúdo para bloquear arquivos maliciosos. Monitore os logs do Organizr em busca de atividades suspeitas, como uploads de arquivos inesperados ou tentativas de execução de scripts. Após a atualização, verifique se a vulnerabilidade foi corrigida tentando enviar um arquivo .svg de teste e confirmando que o script não é executado.
Como corrigir
Atualize Organizr para a versão 2.1.1810 ou superior. Esta versão contém uma correção para a vulnerabilidade XSS armazenado ao fazer upload de arquivos .svg. A atualização evitará a execução de scripts maliciosos no navegador do usuário.
Boletim de Segurança CVE
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Perguntas frequentestraduzindo…
What is CVE-2022-1345 — XSS in Organizr ≤2.1.1810?
CVE-2022-1345 is a stored XSS vulnerability in Organizr versions up to 2.1.1810. It allows attackers to execute malicious scripts by uploading .svg files, potentially leading to session hijacking and data exposure.
Am I affected by CVE-2022-1345 in Organizr ≤2.1.1810?
If you are using Organizr version 2.1.1810 or earlier, you are potentially affected by this vulnerability. Assess your environment and upgrade as soon as possible.
How do I fix CVE-2022-1345 in Organizr ≤2.1.1810?
Upgrade Organizr to version 2.1.1810 or later to remediate the vulnerability. Implement file upload validation as an interim measure.
Is CVE-2022-1345 being actively exploited?
Public proof-of-concept exploits are available, suggesting a moderate probability of active exploitation. Monitor your systems for suspicious activity.
Where can I find the official Organizr advisory for CVE-2022-1345?
Refer to the Organizr GitHub repository for updates and advisories related to CVE-2022-1345: https://github.com/causefx/organizr
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.