PT-2024-31592 · Pagefind · Pagefind

Alexander-Akait · Publicado 2024-08-27 · Atualizado 2025-10-14 · CVE-2024-45389

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:H

Nome do software vulnerável e versões afetadas:

Versões do Pagefind anteriores à 1.1.1

Descrição:

Existe uma vulnerabilidade de tipo DOM Clobbering no Pagefind, permitindo que um invasor injete código HTML malicioso e escale privilégios. Isso ocorre quando um invasor consegue adicionar elementos a uma página, como tags img com um atributo name, mas não outros, já que adicionar um script seria um vetor de XSS. A vulnerabilidade depende da pesquisa document.currentScript.src ser ofuscada por um elemento HTML controlado pelo invasor, fazendo com que o Pagefind carregue dependências de um domínio externo. Não há relatos de que isso tenha sido explorado na prática por meio do Pagefind.

Recomendações:

Para versões do Pagefind anteriores à 1.1.1, atualize para a versão 1.1.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir a capacidade de injetar elementos HTML com atributos name em páginas que utilizam o Pagefind.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-45389

GHSA-4VVJ-4CPR-P986

GHSA-64VR-G452-QVP3

GHSA-GPRJ-6M2F-J9HX

Produtos afetados

Pagefind

Referências · 32

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45389.json · Exploit
• https://github.com/vitejs/vite · Nota
• https://github.com/vitejs/vite/commit/ebb94c5b3bf41950f45562595adec117a4d0ba5e · Nota
• https://github.com/vitejs/vite/commit/e8127166979e7ace6eeaa2c3b733c8994caa31f3 · Nota
• https://github.com/vitejs/vite/commit/2691bb3ff6b073b41fb9046909e1e03a74e36675 · Nota
• https://github.com/vitejs/vite/commit/179b17773cf35c73ddb041f9e6c703fd9f3126af · Nota
• https://github.com/vitejs/vite/commit/2ddd8541ec3b2d2e5b698749e0f2362ef28056bd · Nota
• https://github.com/vitejs/vite/commit/ade1d89660e17eedfd35652165b0c26905259fad · Nota
• https://github.com/vitejs/vite/security/advisories/GHSA-64vr-g452-qvp3 · Nota
• https://github.com/webpack/webpack · Nota
• https://github.com/webpack/webpack/issues/18718#issuecomment-2326296270 · Nota
• https://github.com/webpack/webpack/security/advisories/GHSA-4vvj-4cpr-p986 · Nota
• https://github.com/webpack/webpack/commit/955e057abc6cc83cbc3fa1e1ef67a49758bf5a61 · Nota
• https://github.com/CloudCannon/pagefind · Nota
• https://github.com/CloudCannon/pagefind/security/advisories/GHSA-gprj-6m2f-j9hx · Aviso do Fabricante