PT-2020-14322 · Webpack · Webpack-Subresource-Integrity

Jahed · Publicado 2020-10-19 · Atualizado 2021-11-18 · CVE-2020-15262

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:N/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões do webpack-subresource-integrity anteriores à 1.5.1

Descrição

O problema afeta blocos carregados dinamicamente, que recebem um hash de integridade inválido que é ignorado pelo navegador. Isso elimina o nível adicional de proteção oferecido pela Subresource Integrity (SRI) para esses blocos. Os blocos de nível superior não são afetados.

Recomendações

Para versões anteriores à 1.5.1, atualize para a versão 1.5.1 para resolver o problema. Como solução temporária, considere restringir o uso de blocos carregados dinamicamente até que a atualização seja aplicada.

Correção

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-345

Identificadores relacionados

CVE-2020-15262

GHSA-4FC4-CHG7-H8GH

Produtos afetados

Webpack-Subresource-Integrity

Referências · 8

• https://github.com/waysact/webpack-subresource-integrity/commit/3d7090c08c333fcfb10ad9e2d6cf72e2acb7d87f · Correção
• https://github.com/waysact/webpack-subresource-integrity/security/advisories/GHSA-4fc4-chg7-h8gh · Nota
• https://github.com/waysact/webpack-subresource-integrity/issues/131 · Nota
• https://github.com/waysact/webpack-subresource-integrity · Nota
• https://osv.dev/vulnerability/GHSA-4fc4-chg7-h8gh · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15262 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-15262 · Aviso do Fabricante
• https://t.me/cibsecurity/15396 · Publicação no Telegram