Filament 具有未经验证的 ColorColumn 和 ColorEntry 值，可用于跨站点脚本（CVE-2024-47186）

CVE编号

CVE-2024-47186

利用情况

暂无

补丁情况

N/A

披露时间

2024-09-28

漏洞描述

Filament是一套用于Laravel开发的全栈组件集合。从版本v3.0.0至v3.2.114的Filament存在跨站脚本（XSS）漏洞。如果传递给`ColorColumn`或`ColumnEntry`的值无效并包含特定字符集，应用程序将容易受到跨站脚本攻击，针对打开渲染颜色列或条目的页面的用户。Filament v3.2.115版本修复了这个问题。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/filamentphp/filament/commit/df7989352464d08eda5837ef50f999...
https://github.com/filamentphp/filament/releases/tag/v3.2.115
https://github.com/filamentphp/filament/security/advisories/GHSA-9h9q-qhxg-89xr

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型
CWE-79	在Web页面生成时对输入的转义处理不恰当（跨站脚本）

Exp相关链接

- avd.aliyun.com