Ishmeals

**Nome do software vulnerável e versões afetadas** Versões do Astro 3.0.0 a 4.16.0 **Descrição** A estrutura web Astro possui uma vulnerabilidade de tipo DOM Clobbering no roteador do lado do cliente. Esse problema pode levar a ataques de cross-site scripting (XSS) em sites que habilitam o roteamento do lado do cliente do Astro e que armazenam elementos HTML sem script controlados por invasores, como tags `iframe` com atributos `name` não sanitizados, nas páginas de destino. A vulnerabilidade pode resultar em ataques XSS em sites criados com o Astro que habilitam o roteamento do lado do cliente com `ViewTransitions` e armazenam tags HTML sem script inseridas pelo usuário sem sanitizar adequadamente os atributos `name` na página. **Recomendações** Para as versões do Astro 3.0.0 a 4.16.0, atualize para a versão 4.16.1 ou posterior para resolver o problema. Como solução temporária, considere desativar o recurso de roteamento do lado do cliente até que um patch seja aplicado. Restrinja o acesso ao módulo de roteador do lado do cliente para minimizar o risco de exploração. Evite usar atributos `name` não sanitizados em tags `iframe` dentro dos endpoints de API afetados até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões do LayUI anteriores à 2.9.17 **Descrição** O problema está relacionado a uma vulnerabilidade de tipo DOM Clobbering que pode levar a um ataque de Cross-site Scripting (XSS) em páginas da web onde estejam presentes elementos HTML controlados pelo invasor, como tags `img` com atributos `name` não sanitizados. Essa vulnerabilidade pode ser explorada devido à presença de atributos não sanitizados em elementos HTML. **Recomendações** Para versões anteriores à 2.9.17, atualize para a versão 2.9.17 para corrigir o problema. Como solução temporária, considere sanitizar entradas controladas pelo usuário, especialmente atributos de elementos HTML como `name` em tags `img`, para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Rollup anteriores à 2.79.2, 3.29.5 e 4.22.4 **Descrição** O problema está relacionado a uma vulnerabilidade de DOM Clobbering no Rollup ao agrupar scripts com propriedades de `import.meta` (por exemplo, `import.meta.url`) no formato `cjs`/`umd`/`iife`. Essa vulnerabilidade pode levar a cross-site scripting (XSS) em páginas da web onde estejam presentes elementos HTML controlados pelo invasor e sem scripts (por exemplo, uma tag `img` com um atributo `name` não sanitizado). O gadget de DOM Clobbering pode ser explorado por um invasor para carregar scripts de um servidor controlado por ele. **Recomendações** Para versões anteriores à 2.79.2, atualize para a versão 2.79.2 ou posterior. Para versões anteriores à 3.29.5, atualize para a versão 3.29.5 ou posterior. Para versões anteriores à 4.22.4, atualize para a versão 4.22.4 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões do CodiMD anteriores à 2.5.4 **Descrição** O recurso de caderno do Hackmd.io permite a renderização de tags `HTML` de iframe com um atributo `name` que não foi devidamente sanitizado. Isso permite que invasores realizem ataques de script entre sites (XSS) por meio de DOM clobbering. **Recomendações** Para versões anteriores à 2.5.4, atualize para a versão 2.5.4 para resolver o problema. Como solução temporária, considere restringir a renderização de tags `HTML` iframe ou sanitizar o atributo `name` para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do CoCalc anteriores àquela que contém o commit 419862a9c9879c **Descrição** O problema diz respeito ao analisador de Markdown do CoCalc, que permite que as tags `<script>` sejam incluídas e executadas quando publicadas. Não há soluções alternativas conhecidas para este problema. **Recomendações** Para versões anteriores à versão que contém o commit 419862a9c9879c, atualize para uma versão que inclua a correção.