PT-2024-32392 · Layui · Layui

Ishmeals + 1 · Publicado 2024-09-26 · Atualizado 2025-08-15 · CVE-2024-47075

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:H

Nome do software vulnerável e versões afetadas

Versões do LayUI anteriores à 2.9.17

Descrição

O problema está relacionado a uma vulnerabilidade de tipo DOM Clobbering que pode levar a um ataque de Cross-site Scripting (XSS) em páginas da web onde estejam presentes elementos HTML controlados pelo invasor, como tags img com atributos name não sanitizados. Essa vulnerabilidade pode ser explorada devido à presença de atributos não sanitizados em elementos HTML.

Recomendações

Para versões anteriores à 2.9.17, atualize para a versão 2.9.17 para corrigir o problema. Como solução temporária, considere sanitizar entradas controladas pelo usuário, especialmente atributos de elementos HTML como name em tags img, para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-47075

GHSA-J827-6RGF-9629

Produtos afetados

Layui

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/47xxx/CVE-2024-47075.json · Exploit
• https://github.com/layui/layui/security/advisories/GHSA-j827-6rgf-9629 · Aviso do Fabricante
• https://github.com/layui/layui/commit/f756b41d63bf3d488a2cb042918638c9851bf2b0 · Correção
• https://github.com/layui/layui · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-47075 · Nota de Segurança
• https://t.me/cveNotify/132450 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1839413427661365708 · Publicação no Twitter
• https://t.me/cvedetector/6454 · Publicação no Telegram
• https://layui.dev/notes/share/security-currentscript.html · Nota
• https://osv.dev/vulnerability/CVE-2024-47075 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-j827-6rgf-9629 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1839358144537039101 · Publicação no Twitter