PT-2020-16410 · Npm · Vega

Lowjheer · Publicado 2020-12-30 · Atualizado 2021-01-06 · CVE-2020-26296

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Vega anteriores à 5.17.3

Descrição

O Vega é uma gramática de visualização, um formato declarativo para criar, salvar e compartilhar projetos de visualização interativos. O Vega é um pacote npm. No Vega, existe uma vulnerabilidade XSS nas expressões Vega. Por meio de uma expressão Vega especialmente criada, um invasor poderia executar código JavaScript arbitrário na máquina da vítima.

Recomendações

Para versões anteriores à 5.17.3, atualize para a versão 5.17.3 para resolver o problema. Como solução alternativa temporária, considere restringir o uso de expressões Vega para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-26296

GHSA-R2QC-W64X-6J54

Produtos afetados

Vega

Referências · 9

• https://github.com/vega/vega/issues/3018 · Nota
• https://github.com/vega/vega/releases/tag/v5.17.3 · Nota
• https://github.com/vega/vega/security/advisories/GHSA-r2qc-w64x-6j54 · Nota
• https://github.com/vega/vega/pull/3019 · Nota
• https://npmjs.com/package/vega · Nota
• https://osv.dev/vulnerability/GHSA-r2qc-w64x-6j54 · Aviso do Fabricante
• https://t.me/cvenotify/8001 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-26296 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-26296 · Nota de Segurança