Tóm tắt nhanh
- CVE-2024-29896 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng astro-shield (kindspells), @kindspells/astro-shield.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.59%, cao hơn 48.4% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 1.3.0 hoặc mới hơn.
Mô tả
Impact
When the following conditions are met:
- Automated CSP headers generation for SSR content is enabled
- The web application serves content that can be partially controlled by external users
Then it is possible that the CSP headers generation feature might be "allow-listing" malicious injected resources like inlined JS, or references to external malicious scripts.
Patches
Available in version 1.3.0 .
Workarounds
- Do not enable CSP headers generation.
- Use it only for dynamically generated content that cannot be controlled by external users in any way.
References
Are there any links users can visit to find out more?
Mô tả của NVD
Astro-Shield is a library to compute the subresource integrity hashes for your JS scripts and CSS stylesheets. When automated CSP headers generation for SSR content is enabled and the web application serves content that can be partially controlled by external users, then it is possible that the CSP headers generation feature might be "allow-listing" malicious injected resources like inlined JS, or references to external malicious scripts. The fix is available in version 1.3.0.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí