Cross-Site Scripting in @novnc/novnc

TRUNG BÌNH 6.1CVE-2017-18635 · GHSA-49rv-g7w5-m8xx · Công bố 25/09/2019 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2017-18635 là lỗ hổng mức TRUNG BÌNH (CVSS 6.1) ảnh hưởng novnc (novnc), openstack (redhat), @novnc/novnc.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 4.8%, cao hơn 91.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.6.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
novnc novnc	`< 0.6.2`	`0.6.2`
openstack redhat	`= 13`	Chưa có bản vá
@novnc/novnc npm	`< 0.6.2`	`0.6.2`

Mô tả

Versions of @novnc/novnc prior to 0.6.2 are vulnerable to Cross-Site Scripting (XSS). The package fails to validate input from the remote VNC server such as the VNC server name. This allows an attacker in control of the remote server to execute arbitrary JavaScript in the noVNC web page. It affects any users of include/ui.js and users of vnc_auto.html and vnc.html.

Recommendation

Upgrade to version 0.6.2 or later.

Mô tả của NVD

An XSS vulnerability was discovered in noVNC before 0.6.2 in which the remote VNC server could inject arbitrary HTML into the noVNC web page via the messages propagated to the status field, such as the VNC server name.