Cross-site Scripting in React Draft Wysiwyg

中 5.4CVE-2021-31712 · GHSA-qcg2-h349-vwm3 · 24/04/2021 公開 · 17/06/2026 更新

要点

CVE-2021-31712 は react draft wysiwyg (react draft wysiwyg project), react-draft-wysiwyg に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.79%（全脆弱性の 56.6% より高い）。
対処：1.14.6 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
react draft wysiwyg react_draft_wysiwyg_project	`< 1.14.6`	`1.14.6`
react-draft-wysiwyg npm	`< 1.14.6`	`1.14.6`

概要

react-draft-wysiwyg (aka React Draft Wysiwyg) before 1.14.6 allows a javascript: URi in a Link Target of the link decorator in decorators/Link/index.js when a draft is shared across users, leading to XSS.

NVD の説明

react-draft-wysiwyg (aka React Draft Wysiwyg) before 1.14.6 allows a javascript: URi in a Link Target of the link decorator in decorators/Link/index.js when a draft is shared across users, leading to XSS.

参考情報

nvd.nist.gov/vuln/detail/CVE-2021-31712 · ADVISORY
jpuri/react-draft-wysiwyg · WEB
jpuri/react-draft-wysiwyg#1104 · WEB
jpuri/react-draft-wysiwyg commit d2faeb6 · WEB

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン