PT-2026-48881 · Nuxt · Nuxt
CVSS v3.1
5.4
متوسطة
| المتجه | AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Nuxt الأقدم من 3.21.7
إصدارات Nuxt الأقدم من 4.4.7
الوصف
يفشل مكون
<NuxtLink> في التحقق من صحة نظام عناوين URL للقيم المرتبطة بخصائص to أو href الخاصة به قبل عرضها في السمة href للعنصر <a> الأساسي. إذا ربط تطبيق ما مدخلات يسيطر عليها المهاجم بهذه الخصائص، فيمكن للمهاجم تقديم عنوان URL من نوع javascript: أو vbscript:. عند النقر عليه، يؤدي ذلك إلى تنفيذ البرنامج النصي في مصدر التطبيق، مما يؤدي إلى حدوث هجوم برمجة عبر المواقع (XSS) انعكاسي قائم على DOM، وهي ثغرة أمنية يتم فيها تنفيذ برنامج نصي في متصفح المستخدم بسبب فشل التطبيق في تنقية المدخلات. بالإضافة إلى ذلك، يمكن استخدام حمولة data:text/html,... لإنشاء سطح تصيد احتيالي في علامة التبويب نفسها. تؤثر هذه المشكلة أيضًا على التطبيقات التي تعيد ربط خصائص href وroute.href من الفتحة المخصصة للمكون إلى نقاط الربط الخاصة بها.التوصيات
التحديث إلى الإصدار 3.21.7 أو أحدث.
التحديث إلى الإصدار 4.4.7 أو أحدث.
استغلال
إصلاح
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Nuxt