CVE-2021-21400: Entering code in App Lock modal sends input to conversation

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• wire wire-webappдо 2019-07-11-13-18 включительно
• wire wire-webapp2019-02-11
• wire wire-webapp2019-02-13
• wire wire-webapp2019-02-18
• wire wire-webapp2019-02-27
• wire wire-webapp2019-02-28
• wire wire-webapp2019-03-05
• wire wire-webapp2019-03-07
• wire wire-webapp2019-03-11
• wire wire-webapp2019-03-13
• wire wire-webapp2019-03-20
• wire wire-webapp2019-03-25
• wire wire-webapp2019-03-28
• wire wire-webapp2019-04-08
• wire wire-webapp2019-04-11
• wire wire-webapp2019-04-18
• wire wire-webapp2019-04-23
• wire wire-webapp2019-04-25
• wire wire-webapp2019-04-29
• wire wire-webapp2019-05-14

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• wireapp wire-webapp

  • < 2021-03-15-production.0затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-29168Cross Site Scripting in Wire Messages
  24Наблюдать
• CVE-2022-24799Cross Site Scripting in Wire Webapp
  24Наблюдать
• CVE-2021-32683XSS through createObjectURL
  24Наблюдать

Опубликованы до и после этой записи в том же продукте

• Позже →CVE-2022-236054 февр. 2022 г. · Expired Ephemeral Messages not reliably removed in wire-webapp
  9Наблюдать
• Позже →CVE-2022-3938027 янв. 2023 г. · wire-webapp contains Improper Handling of Exceptional Conditions leading to a DoS via Markdown Rendering
  21Наблюдать
• Позже →CVE-2025-4806622 мая 2025 г. · wire-webapp has no database deletion on client logout
  22Наблюдать

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.