Apostrophe sanitize-html 安全漏洞(CVE-2024-21501)

CVE编号

CVE-2024-21501

利用情况

暂无

补丁情况

N/A

披露时间

2024-02-24

漏洞描述

Apostrophe sanitize-html是美国Apostrophe公司的一个库。清理用户提交的 HTML，在每个元素的基础上保留列入白名单的元素和列入白名单的属性。 Apostrophe sanitize-html 2.12.1之前版本存在安全漏洞。攻击者利用该漏洞收集有关目标服务器的文件系统结构和依赖项的详细信息。

解决建议

"将组件 sanitize-html 升级至 2.12.1 及以上版本"

参考链接
https://gist.github.com/Slonser/8b4d061abe6ee1b2e10c7242987674cf
https://github.com/apostrophecms/apostrophe/discussions/4436
https://github.com/apostrophecms/sanitize-html/commit/c5dbdf77fe8b836d3bf4554...
https://github.com/apostrophecms/sanitize-html/pull/650
https://security.snyk.io/vuln/SNYK-JS-SANITIZEHTML-6256334

CVSS3评分 5.3

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 无
• 保密性 低
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com