Vulnerabilidad XSS parcheada en la plataforma del motor de datos Directus

Se ha reparado una vulnerabilidad de secuencias de comandos entre sitios (XSS) en el popular motor Directus. Directus es un sistema de administración de contenido modular (CMS) de código abierto que se promociona como una "potencia flexible para ingenieros". La plataforma se puede utilizar para encapsular bases de datos SQL con API REST y GraphQL.
Directus ha logrado 14.9k estrellas en GitHub y hay aproximadamente 1700 bifurcaciones. Descubierta por el investigador David Johansson del Centro de Investigación de Seguridad Cibernética de Synopsys (CyRC), la vulnerabilidad se rastrea como CVE-2022-24814 y puede comprometer la cuenta.
Afectando a Directus v9.6.0 y versiones anteriores, se encontró CVE-2022-24814 en la funcionalidad de carga de archivos del CMS.
"Se puede ejecutar JavaScript no autorizado insertando un iframe en la interfaz HTML de texto enriquecido que se vincula a un archivo HTML cargado que carga otro archivo JS cargado en su etiqueta de secuencia de comandos", explicó Directus. "Esto satisface el encabezado de la política de seguridad de contenido regular, que a su vez permite que el archivo ejecute cualquier JS arbitrario". Según Synopsys, los usuarios autenticados pueden crear un ataque XSS almacenado que se activa cuando otros usuarios intentan ver "ciertas" colecciones o archivos en la plataforma.
Un problema similar, rastreado bajo CVE CVE-2022-22116 y CVE-2022-22117, se reveló anteriormente en la aplicación Directus. Sin embargo, las mejoras de mitigación no fueron lo suficientemente lejos y, por lo tanto, podrían pasarse por alto, agregaron los investigadores. Synopsys reveló sus hallazgos a Directus el 28 de enero.
El equipo de la plataforma evaluó la vulnerabilidad y lanzó la versión 3.7.0 el 18 de marzo para resolver el problema de seguridad.
Además, Directus mejoró un valor predeterminado "muy permisivo" para CORS configuración que podría dar lugar a un acceso no autorizado cuando no se han modificado las configuraciones. La última versión es v3.9.
0. "Synopsys quisiera felicitar al equipo de Directus por su capacidad de respuesta y por abordar esta vulnerabilidad de manera oportuna", dijo la compañía. En noticias relacionadas, VMware publicó un aviso de seguridad el 6 de abril instando a los clientes a parchear el software, incluido VMware Workspace ONE Access, Identity Manager (vIDM) y vRealize Automation (vRA) para corregir los errores que conducen a la ejecución remota de código (RCE), entre otros problemas. .
¿Tienes un consejo? Póngase en contacto de forma segura a través de WhatsApp | Señal en +447713 025 499, o en Keybase: charlie0.