CVE-2026-49977
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w tarteaucitron.js przed wersją 1.33.0. Funkcja tarteaucitron.cookie.purge() jest wywoływana na dowolnym elemencie z klasą purgeBtn bez sprawdzenia, czy jest to przycisk tarteaucitron. Atakujący może usunąć nie-HttpOnly ciasteczko o znanej nazwie poprzez kliknięcie przez użytkownika.
Ocena ryzyka
Ryzyko usunięcia ciasteczek użytkownika, co może prowadzić do utraty sesji lub innych funkcji.
Rekomendacja
Zaktualizuj tarteaucitron.js do wersji 1.33.0 lub nowszej.
Inne podatności w tarteaucitron.js
Zobacz wszystkie- CVE-2026-111714Niskie
Biblioteka tarteaucitron.js przed wersją 1.37.0 zawiera lukę typu ReDoS (Regular Expression Denial of Service), która pozwala atakującym blokować strony odwiedzających poprzez dostarczenie nieescapowanych nazw ciasteczek do cookie.purge. Atakujący może zasadzić ciasteczko z siostrzanej subdomeny lub wstrzyknąć element purgeBtn ze wzorcem data-cookie powodującym katastrofalne cofanie się wyrażenia regularnego.
- CVE-2026-111713Średnie
tarteaucitron.js przed wersją 1.37.0 zawiera podatność cross-site scripting, ponieważ getElemAttr rozwiązuje atrybuty z prefiksem 'data-', podczas gdy zabezpieczenie https-only waliduje atrybut bez prefiksu. Atakujący mogący umieścić znaczniki, tacy jak autorzy CMS, mogą dodać data-url z adresem javascript: obok nieszkodliwego url, aby wykonać skrypt w origin witryny poprzez iframe src.
Oryginalny opis (angielski, źródło NVD)
tarteaucitron.js is a compliant and accessible cookie banner. Prior to 1.33.0, tarteaucitron.cookie.purge() is called on any element with the purgeBtn class and does not check whether the element is a legitimate tarteaucitron button or whether the cookie corresponds to a service handled by tarteaucitron. If an attacker can write HTML with data attributes, an element with data-cookie can silently delete a non-HttpOnly cookie with a known name when clicked by a user. This issue is fixed in version 1.33.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS