Se ha reparado una vulnerabilidad de secuencias de comandos entre sitios (XSS) en el popular motor Directus.
Directus es un sistema de administración de contenido modular (CMS) de código abierto que se promociona como una «potencia flexible para ingenieros». La plataforma se puede utilizar para empaquetar bases de datos SQL con GraphQL y REST API.
Directus ha logrado 14.9k estrellas en GitHub y hay aproximadamente 1700 bifurcaciones.
Descubierta por el investigador del Centro de Investigación de Seguridad Cibernética de Synopsys (CyRC), David Johansson, la vulnerabilidad se rastrea como CVE-2022-24814 y puede comprometer la cuenta.
Afectando a Directus v9.6.0 y versiones anteriores, se encontró CVE-2022-24814 en la funcionalidad de carga de archivos del CMS.
«Se puede ejecutar JavaScript no autorizado insertando un iframe en la interfaz HTML de texto enriquecido que se vincula a un archivo HTML cargado que carga otro archivo JS cargado en su etiqueta de secuencia de comandos», explicó Directus. «Esto satisface el encabezado de la política de seguridad de contenido regular, que a su vez permite que el archivo ejecute cualquier JS arbitrario».
Según Synopsys, los usuarios autenticados pueden crear un ataque XSS almacenado que se activa cuando otros usuarios intentan ver «ciertas» colecciones o archivos en la plataforma.
Un problema similar, rastreado bajo CVE CVE-2022-22116 y CVE-2022-22117, se reveló anteriormente en la aplicación Directus. Sin embargo, las mejoras de mitigación no fueron lo suficientemente lejos y, por lo tanto, podrían pasarse por alto, agregaron los investigadores.
Synopsys reveló sus hallazgos a Directus el 28 de enero. El equipo de la plataforma analizó la vulnerabilidad y lanzó la versión 3.7.0 el 18 de marzo para resolver el problema de seguridad. Además, Directus mejoró un valor predeterminado «muy permisivo» para la configuración de CORS que podría dar lugar a un acceso no autorizado cuando no se habían cambiado las configuraciones.
La última versión es v3.9.0.
«Synopsys quisiera felicitar al equipo de Directus por su capacidad de respuesta y por abordar esta vulnerabilidad de manera oportuna», dijo la compañía.
En noticias relacionadas, VMware publicó un aviso de seguridad el 6 de abril instando a los clientes a parchear el software, incluido VMware Workspace ONE Access, Identity Manager (vIDM) y vRealize Automation (vRA) para corregir los errores que conducen a la ejecución remota de código (RCE), entre otros problemas. .
Ver también
¿Tienes un consejo? Póngase en contacto de forma segura a través de WhatsApp | Señal al +447713 025 499, o más en Keybase: charlie0
