CVE-2024-11831
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
W npm-serialize-javascript znaleziono lukę polegającą na niewystarczającym oczyszczaniu danych wejściowych, takich jak wyrażenia regularne lub inne typy obiektów JavaScript. Umożliwia to atakującemu wstrzyknięcie złośliwego kodu, który może zostać wykonany podczas deserializacji w przeglądarce, prowadząc do ataków typu Cross-site scripting (XSS).
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości wykonania złośliwego skryptu w przeglądarkach użytkowników, co może prowadzić do kradzieży danych sesji, przejęcia kont lub defacementu strony. Szczególnie narażone są aplikacje przesyłające dane serializowane do klientów webowych.
Rekomendacja
Zaleca się natychmiastową aktualizację pakietu serialize-javascript do najnowszej wersji, która zawiera poprawkę zabezpieczającą. Należy również przejrzeć kod pod kątem użycia niesanitowanych danych wejściowych w kontekście serializacji.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in npm-serialize-javascript. The vulnerability occurs because the serialize-javascript module does not properly sanitize certain inputs, such as regex or other JavaScript object types, allowing an attacker to inject malicious code. This code could be executed when deserialized by a web browser, causing Cross-site scripting (XSS) attacks. This issue is critical in environments where serialized data is sent to web clients, potentially compromising the security of the website or web application using this package.