CVE-2024-24785
ŚrednieStreszczenie
Podatność w pakiecie html/template języka Go pozwala na ominięcie automatycznego kodowania kontekstowego, jeśli błędy zwracane przez metodę MarshalJSON zawierają dane kontrolowane przez użytkownika. Może to prowadzić do wstrzyknięcia nieoczekiwanej treści do szablonów HTML.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu HTML lub JavaScript do stron generowanych przez szablony, co może skutkować atakami XSS i kradzieżą danych użytkowników.
Rekomendacja
Należy zaktualizować środowisko Go do wersji zawierającej poprawkę dla CVE-2024-24785 oraz unikać zwracania danych użytkownika w błędach z metod MarshalJSON.
Oryginalny opis (angielski, źródło NVD)
If errors returned from MarshalJSON methods contain user controlled data, they may be used to break the contextual auto-escaping behavior of the html/template package, allowing for subsequent actions to inject unexpected content into templates.