Ishmeals

A estrutura web Astro possui uma vulnerabilidade de tipo DOM Clobbering no roteador do lado do cliente. Esse problema pode levar a ataques de cross-site scripting (XSS) em sites que habilitam o roteamento do lado do cliente do Astro e que armazenam elementos HTML sem script controlados por invasores, como tags `iframe` com atributos `name` não sanitizados, nas páginas de destino. A vulnerabilidade pode resultar em ataques XSS em sites criados com o Astro que habilitam o roteamento do lado do cliente com `ViewTransitions` e armazenam tags HTML sem script inseridas pelo usuário sem sanitizar adequadamente os atributos `name` na página.

O problema está relacionado a uma vulnerabilidade de tipo DOM Clobbering que pode levar a um ataque de Cross-site Scripting (XSS) em páginas da web onde estejam presentes elementos HTML controlados pelo invasor, como tags `img` com atributos `name` não sanitizados. Essa vulnerabilidade pode ser explorada devido à presença de atributos não sanitizados em elementos HTML.

O problema está relacionado a uma vulnerabilidade de DOM Clobbering no Rollup ao agrupar scripts com propriedades de `import.meta` (por exemplo, `import.meta.url`) no formato `cjs`/`umd`/`iife`. Essa vulnerabilidade pode levar a cross-site scripting (XSS) em páginas da web onde estejam presentes elementos HTML controlados pelo invasor e sem scripts (por exemplo, uma tag `img` com um atributo `name` não sanitizado). O gadget de DOM Clobbering pode ser explorado por um invasor para carregar scripts de um servidor controlado por ele.

O recurso de caderno do Hackmd.io permite a renderização de tags `HTML` de iframe com um atributo `name` que não foi devidamente sanitizado. Isso permite que invasores realizem ataques de script entre sites (XSS) por meio de DOM clobbering.

O problema diz respeito ao analisador de Markdown do CoCalc, que permite que as tags `<script>` sejam incluídas e executadas quando publicadas. Não há soluções alternativas conhecidas para este problema.