CVE-2024-9440
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Biblioteka Slim Select w wersjach od 2.0 do 2.9.0 zawiera podatność na atak XSS. Funkcja createOption() przypisuje tekst z obiektu Options do innerHTML bez sanityzacji, co umożliwia wykonanie złośliwego JavaScript.
Ocena ryzyka
Organizacje używające Slim Select do dynamicznego generowania list z niesanityzowanych danych wejściowych są narażone na przejęcie sesji użytkownika, kradzież danych lub inne ataki XSS.
Rekomendacja
Należy natychmiast zaprzestać używania Slim Select w wersjach 2.0-2.9.0 do czasu wydania łatki. Jako tymczasowe rozwiązanie, należy ręcznie sanityzować dane wejściowe przed przekazaniem ich do biblioteki.
Oryginalny opis (angielski, źródło NVD)
Slim Select 2.0 versions through 2.9.0 are affected by a potential cross-site scripting vulnerability. In select.ts:createOption(), the text variable from the user-provided Options object is assigned to an innerHTML without sanitation. Software that depends on this library to dynamically generate lists using unsanitized user-provided input may be vulnerable to cross-site scripting, resulting in attacker executed JavaScript. At this time, no patch is available.