PT-2024-27955

CVE-2024-38354

Publicado

2024-07-10

Atualizado

2024-09-03

Descrição por

CVSS 3.1

8.1

Alta

MétricasAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do CodiMD anteriores à 2.5.4

Descrição

O recurso de caderno do Hackmd.io permite a renderização de tags HTML de iframe com um atributo name que não foi devidamente sanitizado. Isso permite que invasores realizem ataques de script entre sites (XSS) por meio de DOM clobbering.

Recomendações

Para versões anteriores à 2.5.4, atualize para a versão 2.5.4 para resolver o problema. Como solução temporária, considere restringir a renderização de tags HTML iframe ou sanitizar o atributo name para minimizar o risco de exploração.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Ishmeals

Jackfromeast

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados