Confidant API 调用中的跨站点脚本(CVE-2024-45793)

admin 2024-09-22 23:16:42 Ali_nvd 来源:ZONE.CI 全球网 0 阅读模式
Confidant API 调用中的跨站点脚本(CVE-2024-45793)

CVE编号

CVE-2024-45793

利用情况

暂无

补丁情况

N/A

披露时间

2024-09-21
漏洞描述
Confidant是一个开源的秘密管理服务,它为用户提供友好的存储和访问秘密的功能。以下端点存在跨站脚本漏洞:* GET /v1/credentials* GET /v1/credentials/* GET /v1/archive/credentials/* GET /v1/archive/credentials* POST /v1/credentials* PUT /v1/credentials/* PUT /v1/credentials//<to_revision>* GET /v1/services* GET /v1/services/* GET /v1/archive/services/* GET /v1/archive/services* PUT /v1/services/* PUT /v1/services//<to_revision>。攻击者需要认证并拥有创建新凭据的权限,但可以利用此漏洞向同一Confidant实例中的其他用户显示信息和运行脚本。此问题已在版本6.6.2中得到修复。建议所有用户进行升级。对于此漏洞,尚无已知的解决方案。
解决建议
"将组件 confidant 升级至 6.6.2 及以上版本"
参考链接
https://github.com/lyft/confidant/security/advisories/GHSA-rxq8-q85f-m866
https://hackerone.com/reports/2332004
https://hackerone.com/reports/2456673
https://hackerone.com/reports/2476542
CVSS3评分 4.8
  • 攻击路径 相邻
  • 攻击复杂度 低
  • 权限要求 低
  • 影响范围 已更改
  • 用户交互 需要
  • 可用性 无
  • 保密性 低
  • 完整性 低
CVSS:3.1/AV:A/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
CWE-ID 漏洞类型
CWE-79 在Web页面生成时对输入的转义处理不恰当(跨站脚本)
- avd.aliyun.com
weinxin
版权声明
本站原创文章转载请注明文章出处及链接,谢谢合作!
N/A Ali_nvd

N/A

N/ACVE编号 CVE-2024-46103利用情况 暂无补丁情况 N/A披露时间 2024-09-21漏洞描述SEMCMS 4.8 is vulnera
评论:0   参与:  0