CVE-2022-24733mediumCWE-1021

CVE-2022-24733: fallo de gravedad media en Sylius

Improper Restriction of Rendered UI Layers or Frames in Sylius

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Sylius+ Monitorear sylius/sylius

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.1epss 0.9%
En resumen

Los sitios web de Sylius pueden cargarse dentro de un iframe controlado por un atacante, permitiendo ataques de clickjacking donde usuarios son engañados al hacer clic en elementos ocultos. La vulnerabilidad afecta versiones anteriores a 1.9.10, 1.10.11 y 1.11.2.

Detalle técnico

CWE-1021: Restricción impropia de capas de UI renderizadas permite clickjacking mediante incrustación en iframe. La vulnerabilidad existe porque las respuestas carecen de encabezados X-Frame-Options, permitiendo que cualquier sitio incruste la aplicación. Los atacantes pueden superponer elementos de UI maliciosos para engañar usuarios.

Resumen generado y traducido por IA a partir de la descripción oficial.
Sylius is an open source eCommerce platform. Prior to versions 1.9.10, 1.10.11, and 1.11.2, it is possible for a page controlled by an attacker to load the website within an iframe. This will enable a clickjacking attack, in which the attacker's page overlays the target application's interface with a different interface provided by the attacker. The issue is fixed in versions 1.9.10, 1.10.11, and 1.11.2. A workaround is available. Every response from app should have an X-Frame-Options header set to: ``sameorigin``. To achieve that, add a new `subscriber` in the app.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Productos afectados
Sylius · Sylius
CVEs relacionadas — Sylius

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-24743HIGHInsufficient Session Expiration in SyliusEPSS 1.3%CVE-2022-24749MEDIUMBasic Cross-site Scripting and Unrestricted Upload of File with Dangerous Type in SyliusEPSS 1.1%CVE-2021-32720MEDIUMList of order ids, number, items total and token value exposed for unauthorized uses via new APIEPSS 0.9%CVE-2022-24742MEDIUMExposure of Sensitive Information Due to Incompatible Policies in SyliusEPSS 0.8%CVE-2019-16768LOWInternal exception message exposure for login action in SyliusEPSS 0.7%CVE-2020-15245MEDIUMEmail verification bypass in SyliusEPSS 0.6%