CVE-2024-41662

Le XSS Markdown conduit à une RCE dans VNote version <=3.18.1

Sévérité : Élevée (8.6)

Score CVSS : CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Résumé :

Une vulnérabilité de Cross-Site Scripting (XSS) a été identifiée dans la fonctionnalité de rendu Markdown de l'application de prise de notes VNote. Cette vulnérabilité permet l'injection et l'exécution de code JavaScript arbitraire, pouvant potentiellement conduire à une exécution de code à distance (RCE).

Étapes pour reproduire :

1. Créez une note dans Vnote.
2. Saisissez le payload JavaScript suivant dans l'application,

3. Appuyez sur CTRL+T pour afficher le contenu Markdown.
4. Observez le payload JavaScript déclencher une popup d'alerte.

Le payload fourni ne fait l'objet d'aucune liste blanche ni encodage de sortie, ce qui entraîne une vulnérabilité XSS.

REMARQUE : L'application valide correctement certains payloads JavaScript en effectuant un encodage de sortie dans l'application. Cependant, elle ne parvient pas à les valider dans certains cas.

5. De plus, un attaquant peut obtenir une exécution de code à distance à l'aide du payload suivant.

Détails des versions affectées :

• <=3.18.1

Impact :

Cette vulnérabilité peut être exploitée par un attaquant pour obtenir un accès non autorisé au système, exécuter des commandes arbitraires et potentiellement prendre le contrôle de la machine affectée. Cela pourrait conduire à une compromission du système et à d'autres incidents de sécurité graves.

Atténuation :

• Appliquez un assainissement rigoureux des entrées pour tout contenu Markdown.
• Utilisez un analyseur Markdown sécurisé qui échappe ou supprime de manière appropriée les contenus potentiellement dangereux.

Références :

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-41662
• https://nvd.nist.gov/vuln/detail/CVE-2024-41662
• https://github.com/sh3bu/CVE-2024-41662