NocoBase не может очистить значения полей форматированного текста в средстве рендеринга чтения, что позволяет пользователям с разрешениями на создание хранить вредоносный HTML-код с помощью обработчиков событий. Злоумышленники могут написать произвольную разметку через API сбора данных, который выполняется в браузерах всех пользователей, просматривающих затронутую запись.
Показать оригинальное описание (EN)
NocoBase fails to sanitize rich text field values in the read renderer, allowing users with create permissions to store malicious HTML with event handlers. Attackers can write arbitrary markup through the collection API that executes in the browsers of all users viewing the affected record.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Nocobase Nocobase
cpe:2.3:a:nocobase:nocobase:*:*:*:*:*:*:*:*
|
— |
<= 2.2.5
|
Ссылки 4
https://github.com/nocobase/nocobase
disclosure@vulncheck.com
https://github.com/nocobase/nocobase/blob/v2.2.5/packages/core/client/src/schem…
disclosure@vulncheck.com
https://github.com/nocobase/nocobase/issues/10416
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/nocobase-rich-text-field-stored-cross-site…
disclosure@vulncheck.com