Improper Neutralization of Script in Attributes in @dcl/single-sign-on-client

中 6.1CVE-2023-41049 · GHSA-vp4f-wxgw-7x8x · 01/09/2023 公開 · 17/06/2026 更新

要点

CVE-2023-41049 は single sign on client (decentraland), @dcl/single-sign-on-client に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.46%（全脆弱性の 39.8% より高い）。
対処：0.1.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
single sign on client decentraland	`< 0.1.0`	`0.1.0`
@dcl/single-sign-on-client npm	`< 0.1.0`	`0.1.0`

概要

Impact

Improper input validation in the init function allows arbitrary javascript to be executed using the javascript: prefix

    SSO.init('javascript:alert("javascript successfully injected")')

Patches

This vulnerability was patched on version 0.1.0

Workarounds

This vulnerability can be prevented if user input correctly sanitized or there is no user input pass to the init function

NVD の説明

@dcl/single-sign-on-client is an open source npm library which deals with single sign on authentication flows. Improper input validation in the `init` function allows arbitrary javascript to be executed using the `javascript:` prefix. This vulnerability has been patched on version `0.1.0`. Users are advised to upgrade. Users unable to upgrade should limit untrusted user input to the `init` function.

参考情報

decentraland/single-sign-on-client security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2023-41049 · ADVISORY
decentraland/single-sign-on-client#2 · WEB
decentraland/single-sign-on-client commit bd20ea9 · WEB
decentraland/single-sign-on-client · PACKAGE

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2023-41049 は single sign on client (decentraland), @dcl/single-sign-on-client に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。

今後30日間に悪用される確率（EPSS）：0.46%（全脆弱性の 39.8% より高い）。

対処：0.1.0 以降に更新してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

single sign on client

decentraland

< 0.1.0

0.1.0

@dcl/single-sign-on-client

npm