CVE-2023-39318
ŚrednieStreszczenie
Podatność w pakiecie html/template języka Go nieprawidłowo obsługuje tokeny komentarzy HTML "" oraz hashbang "#!" w kontekstach <script>. Może to spowodować błędną interpretację zawartości skryptów przez parser szablonów, prowadząc do nieprawidłowego escapowania akcji.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do ataków XSS (Cross-Site Scripting) i naruszenia bezpieczeństwa danych użytkowników.
Rekomendacja
Należy natychmiast zaktualizować pakiet html/template do wersji zawierającej poprawkę (np. Go 1.21.1 lub nowszej). Przejrzyj i przetestuj wszystkie szablony HTML pod kątem potencjalnych wektorów ataku.
Inne podatności w html/template
Zobacz wszystkie- CVE-2024-24785Średnie
Podatność w pakiecie html/template języka Go pozwala na ominięcie automatycznego kodowania kontekstowego, jeśli błędy zwracane przez metodę MarshalJSON zawierają dane kontrolowane przez użytkownika. Może to prowadzić do wstrzyknięcia nieoczekiwanej treści do szablonów HTML.
- CVE-2023-39319Średnie
Podatność w pakiecie html/template języka Go powoduje nieprawidłowe stosowanie reguł dla sekwencji "<script", "<!--" i "</script" w literałach JS w kontekście <script>. Może to prowadzić do przedwczesnego zakończenia kontekstu skryptu przez parser szablonów i nieprawidłowego escapowania akcji.
Oryginalny opis (angielski, źródło NVD)
The html/template package does not properly handle HTML-like "" comment tokens, nor hashbang "#!" comment tokens, in <script> contexts. This may cause the template parser to improperly interpret the contents of <script> contexts, causing actions to be improperly escaped. This may be leveraged to per
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS