Katalog podatności CVE

DOMPurify przed wersją 3.3.2 zawiera podatność na zatruwanie prototypu w trybie USE_PROFILES. Atakujący może ustawić właściwości prototypu Array.prototype, takie jak onclick, na true, co powoduje, że DOMPurify akceptuje procedury obsługi zdarzeń jako dozwolone atrybuty, prowadząc do XSS opartego na DOM.

DOMPurify przed wersją 3.3.2 zawiera podatność na obejście walidacji URI, gdy ADD_ATTR jest dostarczane jako funkcja predykatu przez EXTRA_ELEMENT_HANDLING.attributeCheck. Atakujący może dostarczyć predykat akceptujący określone kombinacje atrybutów i tagów, aby ominąć walidację bezpiecznych URI, umożliwiając niebezpieczne protokoły, takie jak javascript:, co prowadzi do XSS opartego na DOM.

W DOMPurify do wersji 3.3.3, funkcje predykatów dostarczone przez ADD_ATTR lub ADD_TAGS do DOMPurify.sanitize() utrzymują się w stanie wewnętrznym (EXTRA_ELEMENT_HANDLING) w kolejnych wywołaniach sanitize() na tej samej instancji. Jeśli późniejsze wywołanie dostarczy ADD_ATTR lub ADD_TAGS jako tablicę, a nie funkcję, poprzednio ustawiony handler funkcji nie jest czyszczony ani nadpisywany, co pozwala mu nadal zatwierdzać atrybuty lub tagi kontrolowane przez atakującego. Może to pozwolić na niebezpieczne atrybuty obsługi zdarzeń lub zabronione tagi (omijając FORBID_TAGS) na przetrwanie sanityzacji, prowadząc do XSS.

DOMPurify do wersji 3.3.3 nie dezynfekuje elementów DOM przekazanych w trybie IN_PLACE, gdy element pochodzi z innego okna/realm (np. contentDocument iframe). Sprawdzanie instanceof między różnymi realmami w prywatnej funkcji _isNode() zwraca false dla węzłów z obcego realm, powodując, że DOMPurify stringifikuje element (zwracając '[object HTMLDivElement]'), cicho resetuje IN_PLACE na false i zwraca niesprawdzony element z nienaruszonymi ładunkami XSS.

DOMPurify przed wersją 3.4.0 zawiera błąd logiczny w funkcji ADD_TAGS, gdzie ocena skrócona (short-circuit) pozwala zabronionym tagom ominąć ograniczenia FORBID_TAGS. Atakujący mogą stworzyć dane wejściowe zawierające tagi wymienione w FORBID_TAGS, które są również dodane przez funkcję ADD_TAGS, powodując ich zachowanie w oczyszczonym wyjściu.

DOMPurify przed wersją 3.4.7 przekazuje bezpośrednie referencje do modułowych zbiorów DEFAULT_ALLOWED_TAGS i DEFAULT_ALLOWED_ATTR do hooków uponSanitizeElement i uponSanitizeAttribute, gdy sanitize jest wywoływane bez jawnej konfiguracji. Hook modyfikujący te pola trwale rozszerza domyślne listy dozwolonych elementów dla całego czasu życia instancji DOMPurify, przez co kolejne wywołania sanitize dziedziczą rozszerzone domyślne ustawienia.

DOMPurify do wersji 3.4.6 zawiera podatność na XSS w trybie IN_PLACE, która ufa kontrolowanemu przez atakującego nodeName na żywych węzłach niebędących formularzami. Atakujący mogą dostarczyć wrogie żywe obiekty DOM z prawdziwymi dziećmi skryptów, których obserwowalny nodeName jest nadpisywany, aby wyglądać jak dozwolone elementy, powodując wykonanie skryptów po wstawieniu oczyszczonego drzewa do żywego dokumentu.

DOMPurify w wersjach od 3.0.0 do 3.4.8, skonfigurowany z SAFE_FOR_TEMPLATES i trybem wyjścia DOM, nie usuwa wyrażeń szablonów (np. ${evil}) wewnątrz elementów <template>. Ostateczne czyszczenie nie przetwarza template.content, więc wyrażenia mogą pozostać i zostać zinterpretowane przez silnik szablonów.

DOMPurify 3.0.0 przed wersją 3.4.9 nie resetuje zachowanej polityki Trusted Types po wywołaniu clearConfig(), więc instancja DOMPurify ponownie użyta w różnych granicach zaufania pozostaje związana z wcześniej dostarczoną TRUSTED_TYPES_POLICY. Późniejszy wywołujący, który żąda wyjścia RETURN_TRUSTED_TYPE, otrzymuje obiekt TrustedHTML utworzony przez starą (potencjalnie niebezpieczną) politykę, a nie czystą domyślną, co może prowadzić do wykonania skryptów w miejscu docelowym Trusted Types. Przekazanie TRUSTED_TYPES_POLICY: null w późniejszym wywołaniu również nie czyści zachowanej polityki.

Wykryto podatność w release-it conventional-changelog do wersji 11.0.1. Dotyczy ona funkcji writeChangelog w pliku index.js komponentu Changelog File Handler. Manipulacja argumentem infile prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak musi być przeprowadzony lokalnie. Exploit został ujawniony publicznie i może być wykorzystany. Projekt został poinformowany o problemie wcześnie przez zgłoszenie problemu, ale nie odpowiedział jeszcze.

Zidentyfikowano słabość w bahmutov find-cypress-specs do wersji 1.54.12. Dotkniętym elementem jest funkcja shell.exec w pliku src/index.js komponentu Branch Handler. Manipulacja argumentem --branch powoduje wstrzyknięcie poleceń systemu operacyjnego. Atak jest ograniczony do lokalnego wykonania. Exploit został udostępniony publicznie i może być wykorzystany do ataków. Projekt został poinformowany o problemie wcześnie przez zgłoszenie problemu, ale nie odpowiedział jeszcze.

SiYuan przed wersją 3.7.2 zawiera podatność na path traversal w gałęzi /export/temp/ handlera serveExport. Uwierzytelniony atakujący może użyć zakodowanych sekwencji nawigacyjnych, aby odczytać dowolne pliki poza katalogiem TempDir, w tym /etc/passwd, klucze SSH i pliki bazy danych.

Wtyczka Shop Manager dla WordPressa w wersjach do 2.5 zawiera podatność na Cross Site Scripting (XSS) w zakładkach.

Wtyczka Machete dla WordPressa w wersjach do 5.2 zawiera podatność na Cross Site Scripting (XSS) z uprawnieniami autora.

Wtyczka Cyr to Lat reloaded – transliteration of links and file names dla WordPressa w wersjach do 1.3.3 zawiera podatność na Broken Access Control z uprawnieniami subskrybenta.

Wtyczka افزونه حمل و نقل ووکامرس (پست پیشتاز و سفارشی، پیک موتوری) dla WordPressa w wersjach do 4.4.5 zawiera podatność na Cross Site Request Forgery (CSRF) bez uwierzytelnienia.

Wtyczka TinyMCE Templates dla WordPressa w wersjach do 4.8.1 zawiera podatność na Sensitive Data Exposure z uprawnieniami kontrybutora.

Wtyczka Custom links in Elementor Image Carousel dla WordPressa w wersjach do 1.1.1 zawiera podatność na Cross Site Scripting (XSS) z uprawnieniami autora.

Wtyczka Smart SEO Tool dla WordPressa w wersjach do 4.1.2 zawiera podatność na Cross Site Scripting (XSS) z uprawnieniami kontrybutora.

Wtyczka Qubely dla WordPressa w wersjach do 1.8.14 zawiera podatność na Broken Access Control bez uwierzytelnienia.