CVE-2023-38500
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
TYPO3 HTML Sanitizer, narzędzie do sanitizacji HTML, ma problem z kodowaniem w warstwie serializacji, co pozwala na niepoprawne kodowanie złośliwego kodu osadzonego w elemencie `noscript`. Chociaż `noscript` jest domyślnie wyłączony, może być włączony w niestandardowych konfiguracjach, co umożliwia obejście mechanizmu ochrony przed XSS.
Ocena ryzyka
Organizacje mogą być narażone na ataki typu cross-site scripting, jeśli `noscript` jest włączony w ich konfiguracji, co może prowadzić do kradzieży danych lub przejęcia sesji użytkowników.
Rekomendacja
Zaleca się aktualizację TYPO3 HTML Sanitizer do wersji 1.5.1 lub 2.1.2, aby usunąć tę podatność. Należy również sprawdzić konfigurację, aby upewnić się, że `noscript` jest wyłączony, jeśli nie jest potrzebny.
Oryginalny opis (angielski, źródło NVD)
TYPO3 HTML Sanitizer is an HTML sanitizer, written in PHP, aiming to provide cross-site-scripting-safe markup based on explicitly allowed tags, attributes and values. Starting in version 1.0.0 and prior to versions 1.5.1 and 2.1.2, due to an encoding issue in the serialization layer, malicious markup nested in a `noscript` element was not encoded correctly. `noscript` is disabled in the default configuration, but might have been enabled in custom scenarios. This allows bypassing the cross-site scripting mechanism of TYPO3 HTML Sanitizer. Versions 1.5.1 and 2.1.2 fix the problem.