CVE-2023-39319
ŚrednieStreszczenie
Podatność w pakiecie html/template języka Go powoduje nieprawidłowe stosowanie reguł dla sekwencji "<script", "<!--" i "</script" w literałach JS w kontekście <script>. Może to prowadzić do przedwczesnego zakończenia kontekstu skryptu przez parser szablonów i nieprawidłowego escapowania akcji.
Ocena ryzyka
Organizacja narażona jest na ryzyko wstrzyknięcia kodu JavaScript (XSS) w aplikacjach webowych korzystających z tego pakietu, co może umożliwić atakującemu wykonanie złośliwego skryptu w przeglądarce ofiary.
Rekomendacja
Zaleca się natychmiastową aktualizację pakietu html/template do wersji zawierającej poprawkę (np. Go 1.21.1 lub nowszej). Należy również przejrzeć kod szablonów pod kątem potencjalnie niebezpiecznych wzorców.
Oryginalny opis (angielski, źródło NVD)
The html/template package does not apply the proper rules for handling occurrences of "<script", "<!--", and "</script" within JS literals in <script> contexts. This may cause the template parser to improperly consider script contexts to be terminated early, causing actions to be improperly escaped.