XSS Attack with Express API

TRUNG BÌNH 6.1CVE-2023-23630 · GHSA-xrh7-m5pp-39r6 · Công bố 01/02/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-23630 là lỗ hổng mức TRUNG BÌNH (CVSS 6.1) ảnh hưởng eta (eta.js), eta.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.61%, cao hơn 49.6% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.0.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
eta eta.js	`< 2.0.0`	`2.0.0`
eta npm	`< 2.0.0`	`2.0.0`

Mô tả

Impact

XSS attack - anyone using the Express API is impacted

Patches

The problem has been resolved. Users should upgrade to version 2.0.0.

Workarounds

Don't pass user supplied data directly to res.renderFile.

References

Are there any links users can visit to find out more? See https://github.com/eta-dev/eta/releases/tag/v2.0.0

Mô tả của NVD

Eta is an embedded JS templating engine that works inside Node, Deno, and the browser. XSS attack - anyone using the Express API is impacted. The problem has been resolved. Users should upgrade to version 2.0.0. As a workaround, don't pass user supplied things directly to `res.render`.