CVE-2023-39319
ŚrednieStreszczenie
Podatność w pakiecie html/template języka Go powoduje nieprawidłowe stosowanie reguł dla sekwencji "<script", "<!--" i "</script" w literałach JS w kontekście <script>. Może to prowadzić do przedwczesnego zakończenia kontekstu skryptu przez parser szablonów i nieprawidłowego escapowania akcji.
Ocena ryzyka
Organizacja narażona jest na ryzyko wstrzyknięcia kodu JavaScript (XSS) w aplikacjach webowych korzystających z tego pakietu, co może umożliwić atakującemu wykonanie złośliwego skryptu w przeglądarce ofiary.
Rekomendacja
Zaleca się natychmiastową aktualizację pakietu html/template do wersji zawierającej poprawkę (np. Go 1.21.1 lub nowszej). Należy również przejrzeć kod szablonów pod kątem potencjalnie niebezpiecznych wzorców.
Inne podatności w html/template
Zobacz wszystkie- CVE-2024-24785Średnie
Podatność w pakiecie html/template języka Go pozwala na ominięcie automatycznego kodowania kontekstowego, jeśli błędy zwracane przez metodę MarshalJSON zawierają dane kontrolowane przez użytkownika. Może to prowadzić do wstrzyknięcia nieoczekiwanej treści do szablonów HTML.
- CVE-2023-39318Średnie
Podatność w pakiecie html/template języka Go nieprawidłowo obsługuje tokeny komentarzy HTML "" oraz hashbang "#!" w kontekstach <script>. Może to spowodować błędną interpretację zawartości skryptów przez parser szablonów, prowadząc do nieprawidłowego escapowania akcji.
Oryginalny opis (angielski, źródło NVD)
The html/template package does not apply the proper rules for handling occurrences of "<script", "<!--", and "</script" within JS literals in <script> contexts. This may cause the template parser to improperly consider script contexts to be terminated early, causing actions to be improperly escaped.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS