CVE-2024-24785
ŚrednieStreszczenie
Podatność w pakiecie html/template języka Go pozwala na ominięcie automatycznego kodowania kontekstowego, jeśli błędy zwracane przez metodę MarshalJSON zawierają dane kontrolowane przez użytkownika. Może to prowadzić do wstrzyknięcia nieoczekiwanej treści do szablonów HTML.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu HTML lub JavaScript do stron generowanych przez szablony, co może skutkować atakami XSS i kradzieżą danych użytkowników.
Rekomendacja
Należy zaktualizować środowisko Go do wersji zawierającej poprawkę dla CVE-2024-24785 oraz unikać zwracania danych użytkownika w błędach z metod MarshalJSON.
Inne podatności w html/template
Zobacz wszystkie- CVE-2023-39318Średnie
Podatność w pakiecie html/template języka Go nieprawidłowo obsługuje tokeny komentarzy HTML "" oraz hashbang "#!" w kontekstach <script>. Może to spowodować błędną interpretację zawartości skryptów przez parser szablonów, prowadząc do nieprawidłowego escapowania akcji.
- CVE-2023-39319Średnie
Podatność w pakiecie html/template języka Go powoduje nieprawidłowe stosowanie reguł dla sekwencji "<script", "<!--" i "</script" w literałach JS w kontekście <script>. Może to prowadzić do przedwczesnego zakończenia kontekstu skryptu przez parser szablonów i nieprawidłowego escapowania akcji.
Oryginalny opis (angielski, źródło NVD)
If errors returned from MarshalJSON methods contain user controlled data, they may be used to break the contextual auto-escaping behavior of the html/template package, allowing for subsequent actions to inject unexpected content into templates.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS