PT-2024-20116 · Unknown · Apollo-Client-Nextjs+1

Ikemurami · Publicado 2024-01-30 · Atualizado 2024-02-06 · CVE-2024-23841

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do apollo-client-nextjs anteriores à 0.7.0

Descrição

O pacote NPM @apollo/experimental-apollo-client-nextjs está sujeito a uma vulnerabilidade de script entre sites (XSS). Esse problema decorre do tratamento inadequado de entradas não confiáveis quando o pacote realiza a renderização de páginas HTML no lado do servidor. Para explorar essa vulnerabilidade, um invasor precisaria injetar entradas maliciosas ou fazer com que entradas maliciosas fossem retornadas por um servidor GraphQL.

Recomendações

Para corrigir esse problema, atualize para a versão 0.7.0 ou posterior.

Como não há uma solução alternativa temporária disponível, a atualização para a versão corrigida é a única medida recomendada.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-80

Identificadores relacionados

CVE-2024-23841

GHSA-RV8P-RR2H-FGPG

Produtos afetados

@Apollo/Experimental-Apollo-Client-Nextjs

Apollo-Client-Nextjs

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/23xxx/CVE-2024-23841.json · Exploit
• https://github.com/apollographql/apollo-client-nextjs/security/advisories/GHSA-rv8p-rr2h-fgpg · Aviso do Fabricante
• https://github.com/apollographql/apollo-client-nextjs/commit/b92bc42abd5f8e17d4db361c36bd08e4f541a46b · Correção
• https://github.com/apollographql/apollo-client-nextjs · Nota
• https://twitter.com/VulmonFeeds/status/1752413270151991740 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1752383576710971471 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-rv8p-rr2h-fgpg · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-23841 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-23841 · Nota de Segurança