PT-2020-21332 · Showdown · Showdown

Publicado 2020-09-03 · Atualizado 2020-09-03

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.1

Baixa

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Showdown anteriores à 1.9.1

Descrição

A vulnerabilidade permite que invasores acessem window.opener da página original ao abrir links, o que pode ser usado para ataques de phishing. Isso ocorre porque o pacote utiliza target=‘ blank’ nas tags âncora.

Recomendações

Atualize para a versão 1.9.1 ou posterior.

Correção

Enumeração de Fraquezas

CWE-1022

Identificadores relacionados

GHSA-H6MQ-3CJ6-H738

Produtos afetados

Showdown

Referências · 6

• https://github.com/showdownjs/showdown · Nota
• https://github.com/showdownjs/showdown/pull/670 · Nota
• https://github.com/showdownjs/showdown/commit/1cd281f0643ef613dc1d36847d4c6cbb22501d91 · Nota
• https://osv.dev/vulnerability/GHSA-h6mq-3cj6-h738 · Aviso do Fabricante
• https://snyk.io/vuln/SNYK-JS-SHOWDOWN-469487 · Nota
• https://npmjs.com/advisories/1302 · Nota