DOMPurify 3.1.3–3.3.1 и 2.5.3–2.5.8, исправленные в коммите 729097f, содержат уязвимость межсайтового скриптинга, которая позволяет злоумышленникам обойти очистку атрибутов, используя пять отсутствующих элементов rawtext (noscript, xmp, noembed, noframes, iframe) в регулярном выражении SAFE_FOR_XML. Злоумышленники могут включать такие полезные данные, как </noscript><img src=x onerror=alert(1)>, в значения атрибутов для выполнения JavaScript, когда очищенный вывод помещается внутри этих незащищенных контекстов необработанного текста.
Показать оригинальное описание (EN)
DOMPurify 3.1.3 through 3.3.1 and 2.5.3 through 2.5.8, fixed in commit 729097f, contain a cross-site scripting vulnerability that allows attackers to bypass attribute sanitization by exploiting five missing rawtext elements (noscript, xmp, noembed, noframes, iframe) in the SAFE_FOR_XML regex. Attackers can include payloads like </noscript><img src=x onerror=alert(1)> in attribute values to execute JavaScript when sanitized output is placed inside these unprotected rawtext contexts.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
Затронутые конфигурации ПО 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Cure53 Dompurify
cpe:2.3:a:cure53:dompurify:*:*:*:*:*:*:*:*
|
2.5.3
|
<= 2.5.8
|
|
Cure53 Dompurify
cpe:2.3:a:cure53:dompurify:*:*:*:*:*:*:*:*
|
3.1.3
|
<= 3.3.1
|