CVE-2015-1293
WysokieStreszczenie
Implementacja DOM w Blink, używana w Google Chrome przed wersją 45.0.2454.85, pozwala zdalnym atakującym na obejście polityki tego samego pochodzenia za pomocą nieokreślonych wektorów.
Ocena ryzyka
Obejście polityki tego samego pochodzenia może prowadzić do nieautoryzowanego dostępu do danych użytkowników, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji webowych.
Rekomendacja
Zaleca się aktualizację Google Chrome do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w Blink (DOM implementation in Google Chrome)
Zobacz wszystkie- CVE-2015-1253Wysokie
W implementacji DOM w Blink, używanej w Google Chrome przed wersją 43.0.2357.65, istnieje luka, która pozwala zdalnym atakującym na obejście polityki Same Origin poprzez spreparowany kod JavaScript, który dodaje element podrzędny do elementu SCRIPT.
- CVE-2014-7930Wysokie
Podatność typu use-after-free w implementacji DOM w Blink, używanej w Google Chrome przed wersją 40.0.2214.91, pozwala zdalnym atakującym na spowodowanie odmowy usługi lub potencjalnie innych nieokreślonych skutków poprzez spreparowany kod JavaScript, który wywołuje niewłaściwe zarządzanie danymi TreeScope.
- CVE-2014-3169Wysokie
Podatność typu use-after-free w implementacji DOM w Blink, używanej w Google Chrome przed wersją 37.0.2062.94, pozwala zdalnym atakującym na spowodowanie odmowy usługi lub potencjalnie innych nieokreślonych skutków poprzez wykorzystanie wykonania skryptu, które ma miejsce przed powiadomieniem o usunięciu węzła.
- CVE-2014-1731Wysokie
W implementacji DOM w Blink, używanej w Google Chrome przed wersją 34.0.1847.131 na Windows i OS X oraz przed 34.0.1847.132 na Linux, występuje problem z niewłaściwym sprawdzaniem stanu renderera podczas zdarzenia focus. Może to prowadzić do odmowy usługi lub innych nieokreślonych skutków poprzez wykorzystanie 'type confusion' dla elementów SELECT.
Oryginalny opis (angielski, źródło NVD)
The DOM implementation in Blink, as used in Google Chrome before 45.0.2454.85, allows remote attackers to bypass the Same Origin Policy via unspecified vectors.