PT-2021-23931 · Unknown · @Joeattardi/Emoji-Button

Erik Krogh Kristensen + 1 · Publicado 2021-11-26 · Atualizado 2021-12-01 · CVE-2021-43785

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:L

**Nome do software vulnerável e versões afetadas:

@joeattardi/emoji-button versões anteriores à 4.6.2

Descrição:

O problema diz respeito a dois vetores para ataques XSS: uma URL para um emoji personalizado e uma string i18n. Em ambos os casos, um valor malicioso pode inserir uma tag script na página e executar código malicioso.

Recomendações:

Para versões anteriores à 4.6.2, atualize para a versão 4.6.2 ou posterior, que escapa adequadamente as strings inseridas no documento HTML para resolver o problema.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-43785

GHSA-F34M-X9PJ-62VQ

Produtos afetados

@Joeattardi/Emoji-Button

Referências · 7

• https://github.com/joeattardi/emoji-button/commit/05970c09180cd27fff493e998ac5bf0468b1bb16 · Correção
• https://github.com/joeattardi/emoji-button/security/advisories/GHSA-f34m-x9pj-62vq · Nota
• https://github.com/joeattardi/emoji-button/commit/fe54bef107eb3f74873a4018f2ff49fa124c6a2e · Correção
• https://github.com/joeattardi/emoji-button · Nota
• https://osv.dev/vulnerability/CVE-2021-43785 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-43785 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-f34m-x9pj-62vq · Aviso do Fabricante