CVE-2022-0776

Versões do hakimel/reveal.js anteriores à 4.3.0

O problema está relacionado a Cross-site Scripting (XSS) - DOM. Especificamente, o ouvinte de eventos onmessage em /plugin/notes/speaker-view.html não verifica a origem do postMessage antes de adicionar o conteúdo à página da web. Isso permite que qualquer origem envie um postMessage na janela do navegador e insira dados do invasor em partes do código, o que pode executar código JavaScript arbitrário na janela do navegador da vítima que hospeda o reveal.js.

Para versões anteriores à 4.3.0, atualize para a versão 4.3.0 ou posterior para resolver o problema.

Como solução temporária, considere desativar o ouvinte de eventos onmessage em /plugin/notes/speaker-view.html até que um patch esteja disponível.

Restrinja o acesso ao módulo /plugin/notes/speaker-view.html para minimizar o risco de exploração.