ZenUML中的跨站脚本漏洞(CVE-2024-38527)
CVE编号
CVE-2024-38527利用情况
暂无补丁情况
N/A披露时间
2024-06-27漏洞描述
ZenUML是一款基于JavaScript的绘图工具，无需服务器支持。它采用Markdown风格的文本定义和渲染器来创建和修改序列图。ZenUML图表语法中的Markdown格式注释存在跨站脚本攻击（Cross-site Scripting，XSS）漏洞。注释功能允许用户添加参考性小备注。该功能允许用户以Markdown格式输入注释，可以使用常见的Markdown特性，如使用`**`来加粗文本。然而，在渲染之前，Markdown文本并未经过净化处理，这使得攻击者可以在注释中输入恶意负载，从而导致XSS攻击。这对于使用ZenUML的非沙箱应用程序来说，在渲染用户控制的图表时存在遭受任意JavaScript执行的风险。该漏洞已在版本3.23.25中得到修复。解决建议
"将组件 @zenuml/core 升级至 3.23.25 及以上版本"
参考链接 |
|
|---|---|
| https://github.com/mermaid-js/zenuml-core/commit/ad7545b33f5f27466cbf357beb65... | |
| https://github.com/mermaid-js/zenuml-core/security/advisories/GHSA-q6xv-jm4v-349h |
- 攻击路径 网络
- 攻击复杂度 高
- 权限要求 无
- 影响范围 已更改
- 用户交互 无
- 可用性 无
- 保密性 低
- 完整性 低
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论