xdlocalstorage does not verify request origin

CAO 8.8CVE-2020-11610 · GHSA-mr5m-2385-2vcp · Công bố 07/04/2020 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2020-11610 là lỗ hổng mức CAO (CVSS 8.8) ảnh hưởng cross domain local storage (cross domain local storage project), xdlocalstorage.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.4%, cao hơn 72.7% các lỗ hổng khác.
Chưa có phiên bản vá trong dữ liệu: theo dõi khuyến cáo của nhà cung cấp ở phần Tham khảo.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
cross domain local storage cross_domain_local_storage_project	`≤ 2.0.5`	Chưa có bản vá
xdlocalstorage npm	`≤ 2.0.5`	Chưa có bản vá

Mô tả

An issue was discovered in xdLocalStorage through 2.0.5. The postData() function in xdLocalStoragePostMessageApi.js specifies the wildcard (*) as the targetOrigin when calling the postMessage() function on the parent object. Therefore any domain can load the application hosting the "magical iframe" and receive the messages that the "magical iframe" sends.

Mô tả của NVD

An issue was discovered in xdLocalStorage through 2.0.5. The postData() function in xdLocalStoragePostMessageApi.js specifies the wildcard (*) as the targetOrigin when calling the postMessage() function on the parent object. Therefore any domain can load the application hosting the "magical iframe" and receive the messages that the "magical iframe" sends.