PT-2024-23117 · Unknown · Astro-Shield
Castarco
·
Publicado
2024-03-28
·
Atualizado
2024-03-29
·
CVE-2024-29896
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do Astro-Shield anteriores à 1.3.0
Descrição
O Astro-Shield é uma biblioteca usada para calcular hashes de integridade de sub-recursos para scripts JavaScript e folhas de estilo CSS. Quando a geração automatizada de cabeçalhos da Política de Segurança de Conteúdo (CSP) para conteúdo de Renderização do Lado do Servidor (SSR) está habilitada e o aplicativo web serve conteúdo que pode ser parcialmente controlado por usuários externos, existe a possibilidade de que o recurso de geração de cabeçalhos CSP permita a injeção de recursos maliciosos, como JavaScript embutido ou referências a scripts maliciosos externos.
Recomendações
Para versões anteriores à 1.3.0, atualize para a versão 1.3.0 para resolver o problema.
Como solução temporária, considere desativar o recurso de geração automática de cabeçalhos CSP até que um patch esteja disponível.
Como alternativa, use o recurso de geração de cabeçalhos CSP apenas para conteúdo gerado dinamicamente que não possa ser controlado por usuários externos de forma alguma.
Exploit
Correção
Special Elements Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Astro-Shield