GLSA 202305-05: xfce4-settings: Browser Argument Injection

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	xfce4-settings: Browser Argument Injection
Дата:	03.05.2023
Ошибки:	#880257
ID:	202305-05

Сводка

A vulnerability has been discovered in xfce4-settings which could result in universal cross site scripting ("uXSS").

Назначение

xfce4-settings contains the configuration system for the Xfce desktop environment.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
xfce-base/xfce4-settings	< 4.17.1	>= 4.17.1	All supported architectures

Описание

xfce4-settings does not sufficiently sanitize URLs opened via xdg4-mime-helper-tool (which is called when a user clicks a link in e.g. Firefox).

Воздействие

The vulnerability can be leveraged into 1-click universal cross site scripting in some browsers, or potentially other unspecified impact.

Обход

There is no known workaround at this time.

Решение

All xfce4-settings users should upgrade to the latest version:

          # emerge --sync
          # emerge --ask --oneshot --verbose ">=xfce-base/xfce4-settings-4.17.1"

Ссылки

CVE-2022-45062

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-202305-05.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.