CVE-2023-41167
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność CVE-2023-41167 w @webiny/react-rich-text-renderer przed wersją 5.37.2 umożliwia ataki XSS przez menedżerów treści. Problem wynika z użycia prop'a dangerouslySetInnerHTML bez sanitizacji HTML, co pozwala na wstrzyknięcie złośliwego skryptu.
Ocena ryzyka
Organizacje mogą być narażone na ataki XSS, które mogą prowadzić do kradzieży danych użytkowników lub przejęcia sesji. Menedżerowie treści mogą nieświadomie wprowadzać złośliwe skrypty, co zwiększa ryzyko.
Rekomendacja
Zaleca się aktualizację @webiny/react-rich-text-renderer do wersji 5.37.2 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy sanitizacji HTML dla wprowadzanych treści.
Oryginalny opis (angielski, źródło NVD)
@webiny/react-rich-text-renderer before 5.37.2 allows XSS attacks by content managers. This is a react component to render data coming from Webiny Headless CMS and Webiny Form Builder. Webiny is an open-source serverless enterprise CMS. The @webiny/react-rich-text-renderer package depends on the editor.js rich text editor to handle rich text content. The CMS stores rich text content from the editor.js into the database. When the @webiny/react-rich-text-renderer is used to render such content, it uses the dangerouslySetInnerHTML prop, without applying HTML sanitization. The issue arises when an actor, who in this context would specifically be a content manager with access to the CMS, inserts a malicious script as part of the user-defined input. This script is then injected and executed within the user's browser when the main page or admin page loads.