PT-2024-20448 · Npm · @Tanstack/React-Query-Next-Experimental

Phryneas · Publicado 2024-01-30 · Atualizado 2024-04-23 · CVE-2024-24558

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do @tanstack/react-query-next-experimental anteriores à 5.18.0

Descrição

O pacote NPM @tanstack/react-query-next-experimental está sujeito a uma vulnerabilidade de cross-site scripting. Para explorar essa vulnerabilidade, um invasor precisaria injetar uma entrada maliciosa ou fazer com que uma entrada maliciosa fosse retornada de um endpoint. Essa vulnerabilidade decorre do tratamento inadequado de entradas não confiáveis quando o @tanstack/react-query-next-experimental realiza a renderização do lado do servidor de páginas HTML.

Recomendações

Para corrigir este problema, atualize para a versão 5.18.0 ou posterior.

Não há soluções alternativas conhecidas para este problema.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-24558

GHSA-997G-27X8-43RF

Produtos afetados

@Tanstack/React-Query-Next-Experimental

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/24xxx/CVE-2024-24558.json · Exploit
• https://github.com/TanStack/query · Nota
• https://github.com/TanStack/query/security/advisories/GHSA-997g-27x8-43rf · Aviso do Fabricante
• https://github.com/TanStack/query/commit/f2ddaf2536e8b71d2da88a9310ac9a48c13512a1 · Correção
• https://t.me/cvenotify/70295 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-24558 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-997g-27x8-43rf · Aviso do Fabricante
• https://t.me/cvenotify/77819 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1752446938362831343 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-24558 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1752419565647384606 · Publicação no Twitter