CVE-2022-4865

Stored XSS w Usememos Memos — przejęcie sesji użytkownika

CVSS 9.0v3.1pub. 2022-12-31upd. 2024-11-21

W aplikacji Usememos Memos w wersjach przed 0.9.1 wykryto podatność typu Stored XSS (CWE-79), umożliwiającą trwałe wstrzyknięcie złośliwego kodu skryptowego. Wysoki wynik CVSS (9.0) wynika z możliwości wpływu na poufność, integralność i dostępność danych w kontekście innych użytkowników.

▸ Pokaż oryginał (EN)

Cross-site Scripting (XSS) - Stored in GitHub repository usememos/memos prior to 0.9.1.

🤖 Analiza AI

Jak działa

Atakujący z uprawnieniami zwykłego użytkownika może zapisać w aplikacji złośliwy payload JavaScript, który zostaje trwale przechowany w repozytorium danych (Stored XSS). Gdy inny użytkownik wyświetli zainfekowaną treść w przeglądarce, skrypt wykonuje się w jego kontekście bezpieczeństwa. Wektor ataku jest sieciowy, a do wywołania skutku wymagana jest interakcja ofiary (UI:R), natomiast efekt obejmuje kontekst zewnętrzny względem aplikacji (S:C — scope changed).

Skutki

Atakujący może przejąć sesję zalogowanego użytkownika, uzyskać dostęp do jego danych (C:H), zmodyfikować treści w aplikacji (I:H) lub zakłócić jej działanie (A:H). W przypadku zaatakowania konta administratora skutki mogą obejmować pełne przejęcie instancji aplikacji.

Mitygacja

Należy zaktualizować Usememos Memos do wersji 0.9.1 lub nowszej, w której problem został usunięty commitem 7670c9536000bb32c6345d4906a91268dcddd5fc. Szczegóły poprawki dostępne są w referencjach producenta na GitHub oraz na platformie huntr.dev.

Kogo dotyczy

Usememos Memos we wszystkich wersjach przed 0.9.1.

Uwagi

Podatność została zgłoszona za pośrednictwem platformy huntr.dev (bounty ID: cd8765a2-bf28-4019-8647-882ccf63b2be). Poprawka opublikowana jako commit w repozytorium GitHub usememos/memos.