Cross-Site Scripting in node-red

中 5.4CVE-2019-15607 · GHSA-8w65-xjc5-9w79 · 28/01/2020 公開 · 17/06/2026 更新

要点

CVE-2019-15607 は node-red (nodered), node-red に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.64%（全脆弱性の 50.9% より高い）。
対処：0.20.8 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
node-red nodered	`≤ 0.20.7`	修正版なし
node-red npm	`< 0.20.8`	`0.20.8`

概要

Versions of node-red prior to 0.20.8are vulnerable to Cross-Site Scripting (XSS). The package fails to sanitize the name field in new Flows, allowing attackers to execute arbitrary JavaScript in the victim's browser.

Recommendation

Upgrade to version 0.18.6 or later.

NVD の説明

A stored XSS vulnerability is present within node-red (version: <= 0.20.7) npm package, which is a visual tool for wiring the Internet of Things. This issue will allow the attacker to steal session cookies, deface web applications, etc.