CVE-2023-24540

KrytyczneCVSS 9.8

Opublikowano: 11/05/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Streszczenie

Nie wszystkie prawidłowe znaki białej spacji JavaScript są uznawane za białe znaki. Szablony zawierające znaki białej spacji spoza zestawu "\t\n\f\r\u0020\u2028\u2029" w kontekstach JavaScript, które zawierają również akcje, mogą nie być prawidłowo sanityzowane podczas wykonywania.

Ocena ryzyka

Może to prowadzić do nieprawidłowej sanityzacji szablonów i potencjalnego wstrzyknięcia treści w kontekstach JavaScript.

Rekomendacja

Zaktualizuj bibliotekę szablonów Go do wersji zawierającej poprawkę.

Inne podatności w Go template library

CVE-2023-24538Krytyczne
Szablony nie traktują prawidłowo znaków backtick (`) jako delimiterów ciągów JavaScript i nie escapują ich zgodnie z oczekiwaniami. Jeśli szablon zawiera akcję szablonu Go wewnątrz literału szablonowego JavaScript, zawartość akcji może zakończyć literał i wstrzyknąć dowolny kod JavaScript do szablonu Go. Po poprawce Template.Parse zwraca błąd przy takich szablonach.

Oryginalny opis (angielski, źródło NVD)

Not all valid JavaScript whitespace characters are considered to be whitespace. Templates containing whitespace characters outside of the character set "\t\n\f\r\u0020\u2028\u2029" in JavaScript contexts that also contain actions may not be properly sanitized during execution.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS