CVE-2022-24733mediumCWE-1021

CVE-2022-24733: falha de média gravidade em Sylius

Improper Restriction of Rendered UI Layers or Frames in Sylius

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Sylius+ Monitorar sylius/sylius

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.1epss 0.9%
Em resumo

Websites do Sylius podem ser carregados dentro de um iframe controlado por atacante, permitindo ataques de clickjacking onde usuários são enganados ao clicar em elementos ocultos. A falha afeta versões anteriores à 1.9.10, 1.10.11 e 1.11.2.

Detalhe técnico

CWE-1021: Restrição imprópria de camadas de UI renderizadas permite clickjacking via incorporação em iframe. A vulnerabilidade existe porque as respostas carecem de cabeçalhos X-Frame-Options, permitindo que qualquer site incorpore a aplicação. Atacantes podem sobrepor elementos de UI maliciosos para enganar usuários.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Sylius is an open source eCommerce platform. Prior to versions 1.9.10, 1.10.11, and 1.11.2, it is possible for a page controlled by an attacker to load the website within an iframe. This will enable a clickjacking attack, in which the attacker's page overlays the target application's interface with a different interface provided by the attacker. The issue is fixed in versions 1.9.10, 1.10.11, and 1.11.2. A workaround is available. Every response from app should have an X-Frame-Options header set to: ``sameorigin``. To achieve that, add a new `subscriber` in the app.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Produtos afetados
Sylius · Sylius
CVEs relacionadas — Sylius

No mesmo produto, das mais perigosas para as menos.

CVE-2022-24743HIGHInsufficient Session Expiration in SyliusEPSS 1.3%CVE-2022-24749MEDIUMBasic Cross-site Scripting and Unrestricted Upload of File with Dangerous Type in SyliusEPSS 1.1%CVE-2021-32720MEDIUMList of order ids, number, items total and token value exposed for unauthorized uses via new APIEPSS 0.9%CVE-2022-24742MEDIUMExposure of Sensitive Information Due to Incompatible Policies in SyliusEPSS 0.8%CVE-2019-16768LOWInternal exception message exposure for login action in SyliusEPSS 0.7%CVE-2020-15245MEDIUMEmail verification bypass in SyliusEPSS 0.6%