XSS (Cross-Site Scripting) dans getformwork/formwork (CVE-2024-35621)
Résumé
XSS dans getformwork/formwork (CVE-2024-35621). Risque d'opérations non autorisées ou de divulgation. Exploitable via content.safe_mode. Atténuation : mise à jour vers 1.13.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
Users with access to the administration panel with page editing permissions could insert `` tags in markdown fields, which are exposed on the publicly accessible site pages, leading to potential XSS injections.
Patches
- Formwork 1.13.0 has been released with a patch that solves this vulnerability. Now the system config option
content.safe_mode(enabled by default) controls whether HTML tags and potentially dangerous links are escaped. This is configurable as in some cases more flexibility should be given. Panel users should be only a controlled group of editors, which cannot enable the option by themselves, and not a generic group. This mitigates the chance of introducing vulnerabilities. - Formwork 2.x (6adc302) adds a similar
content.safeModesystem option. Like Formwork 1.13.0, by default HTML tags and dangerous link are escaped. Even if enabled by an administrator, however, `` and other dangerous tags are still converted to text, but secure tags are allowed.
References
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-35621
Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2024-35621 a été découverte dans getformwork/formwork.
Des attaquants peuvent cibler un point d'entrée spécifique comme content.safe_mode à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour getformwork/formwork vers 1.13.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « getformwork/formwork CVE-2024-35621 » sur le site de l'éditeur.
CVE-2024-35621 (getformwork/formwork) — CWE-79
Vecteur d'attaque : distant (réseau)
Surface d'attaque : content.safe_mode / content.safeMode
Correctif : 1.13.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une XSS (CWE-79) affecte getformwork/formwork. Les attaquants atteignent le code vulnérable via content.safe_mode.
Consultez l'avis de l'éditeur pour les versions affectées de getformwork/formwork. Surface d'attaque : content.safe_mode / content.safeMode.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 1.13.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'getformwork/formwork' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
getformwork/formworkを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade getformwork/formwork to 1.13.0ステージング環境で 1.13.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com