Tóm tắt nhanh
- CVE-2016-10547 là lỗ hổng mức TRUNG BÌNH (CVSS 6.1) ảnh hưởng nunjucks (mozilla), nunjucks.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.4%, cao hơn 72.9% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2.4.3 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| nunjucks | ≤ 2.4.2
| Chưa có bản vá |
| nunjucks npm | < 2.4.3
| 2.4.3
|
Mô tả
Affected versions of nunjucks do not properly escape specially structured user input in template vars when in auto-escape mode, resulting in a cross-site scripting vulnerability.
Proof of Concept
By using an array for the keys in a template var, escaping is bypassed.
name[]=<script>alert(1)</script>
A full PoC is available in the references section.
Recommendation
Update to version 2.4.3 or later.
Mô tả của NVD
Nunjucks is a full featured templating engine for JavaScript. Versions 2.4.2 and lower have a cross site scripting (XSS) vulnerability in autoescape mode. In autoescape mode, all template vars should automatically be escaped. By using an array for the keys, such as `name[]=<script>alert(1)</script>`, it is possible to bypass autoescaping and inject content into the DOM.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí