CVE-2023-39318
ŚrednieStreszczenie
Podatność w pakiecie html/template języka Go nieprawidłowo obsługuje tokeny komentarzy HTML "" oraz hashbang "#!" w kontekstach <script>. Może to spowodować błędną interpretację zawartości skryptów przez parser szablonów, prowadząc do nieprawidłowego escapowania akcji.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do ataków XSS (Cross-Site Scripting) i naruszenia bezpieczeństwa danych użytkowników.
Rekomendacja
Należy natychmiast zaktualizować pakiet html/template do wersji zawierającej poprawkę (np. Go 1.21.1 lub nowszej). Przejrzyj i przetestuj wszystkie szablony HTML pod kątem potencjalnych wektorów ataku.
Oryginalny opis (angielski, źródło NVD)
The html/template package does not properly handle HTML-like "" comment tokens, nor hashbang "#!" comment tokens, in <script> contexts. This may cause the template parser to improperly interpret the contents of <script> contexts, causing actions to be improperly escaped. This may be leveraged to per