PT-2021-3417 · Striptags · Striptags

Erik-Krogh · Publicado 2021-06-18 · Atualizado 2021-06-24 · CVE-2021-32696

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:N/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões do striptags anteriores à 3.2.0

Descrição

Um problema de confusão de tipos pode fazer com que o striptags concatene strings não sanitizadas quando um objeto semelhante a uma matriz é passado como parâmetro html. Isso pode ser explorado por um invasor capaz de controlar o formato da entrada, por exemplo, se parâmetros de consulta forem passados diretamente para a função, levando a ataques de cross-site scripting (XSS).

Recomendações

Para versões anteriores à 3.2.0, atualize para a versão 3.2.0 para resolver o problema.

Como solução temporária, certifique-se de que o parâmetro html seja uma string antes de chamar a função.

Correção

Type Confusion

XSS

Enumeração de Fraquezas

CWE-241

CWE-843

CWE-79

Identificadores relacionados

BDU:2021-03269

CVE-2021-32696

GHSA-QXG5-2QFF-P49R

Produtos afetados

Striptags

Referências · 10

• https://github.com/ericnorris/striptags/releases/tag/v3.2.0 · Nota
• https://github.com/ericnorris/striptags/commit/f252a6b0819499cd65403707ebaf5cc925f2faca · Correção
• https://github.com/ericnorris/striptags/security/advisories/GHSA-qxg5-2qff-p49r · Nota
• https://osv.dev/vulnerability/GHSA-qxg5-2qff-p49r · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-32696 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2021-03269 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2021-32696 · Nota de Segurança
• https://npmjs.com/package/striptags · Nota
• https://t.me/cvenotify/16555 · Publicação no Telegram
• https://vuldb.com/?id.177233 · Nota