翻译缓存中毒漏洞 (CVE-2024-29042)
CVE编号
CVE-2024-29042利用情况
暂无补丁情况
N/A披露时间
2024-03-23漏洞描述
Translate是一个允许用户在Node.js和浏览器上将文本转换为不同语言的包。在3.0.0版本之前，控制`translate`函数的第二个变量的攻击者能够执行缓存投毒攻击。他们可以改变后续用户发出的翻译请求的结果。`opt.id`参数允许覆盖缓存键。如果攻击者将`id`变量设置为另一个用户将生成的缓存键，他们可以选择提供给用户的响应。3.0.0版本修复了这个问题。解决建议
"将组件 translate 升级至 3.0.0 及以上版本"- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 无
- 完整性 低
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论