Trix 在复制粘贴时存在跨站点脚本 (XSS) 漏洞 (CVE-2024-43368)

CVE编号

CVE-2024-43368

利用情况

暂无

补丁情况

N/A

披露时间

2024-08-15

漏洞描述

Trix编辑器版本低于2.1.4时，在粘贴恶意代码时存在跨站脚本攻击（XSS）的漏洞。这一漏洞是绕过GHSA-qjqp-xr96-cj99的修复措施。在合并请求（pull request）1149中，针对Trix附件添加了针对`text/html`内容类型的清理措施。然而，Trix仅在粘贴事件的`dataTransfer`对象上检查内容类型。只要`dataTransfer`的内容类型为`text/html`，Trix就会解析其内容并据此创建附件，即使该附件本身的内容类型并非`text/html`。随后，Trix会使用附件内容来设置附件元素的`innerHTML`。攻击者可能会诱使用户复制并粘贴恶意代码，该代码会在用户会话的上下文中执行任意JavaScript代码，可能导致未经授权的操作被执行或敏感信息被泄露。这一漏洞已在版本2.1.4中修复。

解决建议

"将组件 trix 升级至 2.1.4 及以上版本"

参考链接
https://github.com/basecamp/trix/commit/7656f578af0d03141a72a9d27cb3692e6947dae6
https://github.com/basecamp/trix/pull/1149
https://github.com/basecamp/trix/pull/1156
https://github.com/basecamp/trix/releases/tag/v2.1.4
https://github.com/basecamp/trix/security/advisories/GHSA-qjqp-xr96-cj99
https://github.com/basecamp/trix/security/advisories/GHSA-qm2q-9f3q-2vcv

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com