PT-2024-29502 · Unknown+1 · @Builder.Io/Qwik+1
Arkark
·
Publicado
2024-08-06
·
Atualizado
2024-08-12
·
CVE-2024-41677
CVSS v3.1
6.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L |
Nome do software vulnerável e versões afetadas
Versões do Qwik anteriores à 1.6.0
Versões do @builder.io/qwik anteriores à 1.7.3
Descrição
Existe uma vulnerabilidade potencial de XSS por mutação no Qwik devido a um escape HTML inadequado na renderização do lado do servidor. Isso ocorre porque o Qwik converte strings de acordo com regras específicas, o que pode fazer com que a árvore DOM final renderizada nos navegadores difira do que o Qwik espera na renderização do lado do servidor. Essa discrepância pode ser aproveitada para realizar ataques XSS, especificamente um tipo conhecido como mXSS (XSS por mutação). O problema decorre das regras de conversão encontradas no arquivo
render-ssr.ts, onde valores de atributos e outros caracteres são convertidos de maneira diferente, o que pode levar a vulnerabilidades de segurança.Recomendações
Para versões do Qwik anteriores à 1.6.0, atualize para a versão 1.6.0 ou posterior para resolver o problema.
Para versões do @builder.io/qwik anteriores à 1.7.3, atualize para a versão 1.7.3 ou posterior para resolver o problema.
Como solução temporária, considere restringir a entrada do usuário no parâmetro
href para minimizar o risco de exploração.Evite usar o parâmetro
href no componente afetado até que o problema seja resolvido.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
@Builder.Io/Qwik
Qwik