PT-2021-8863
CVE-2019-10062
·
Publicado
2021-05-13
·
Atualizado
2022-02-10
Descrição por
CVSS 3.1
6.1
MédiaMétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões 1.x do framework Aurelia
Descrição
O problema diz respeito à classe HTMLSanitizer no framework Aurelia, que é suscetível a ataques XSS. Isso ocorre porque o sanitizador tenta filtrar apenas elementos SCRIPT, permitindo que invasores remotos realizem ataques XSS por meio de código JavaScript nos atributos de outros elementos. Os invasores também podem explorar um bug na forma como a string SCRIPT é processada, dividindo-a e aninhando-a.
Recomendações
Para a versão 1.x do framework Aurelia, considere desativar a classe HTMLSanitizer até que uma correção esteja disponível e restrinja o uso de código JavaScript nos atributos de vários elementos para minimizar o risco de exploração.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾