CVE-2026-111713
ŚrednieCVSS 5.4Streszczenie
tarteaucitron.js przed wersją 1.37.0 zawiera podatność cross-site scripting, ponieważ getElemAttr rozwiązuje atrybuty z prefiksem 'data-', podczas gdy zabezpieczenie https-only waliduje atrybut bez prefiksu. Atakujący mogący umieścić znaczniki, tacy jak autorzy CMS, mogą dodać data-url z adresem javascript: obok nieszkodliwego url, aby wykonać skrypt w origin witryny poprzez iframe src.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w kontekście witryny, co może prowadzić do kradzieży sesji, modyfikacji treści lub innych ataków. Wymaga to możliwości umieszczenia znaczników, np. przez autora CMS.
Rekomendacja
Zaktualizuj tarteaucitron.js do wersji 1.37.0 lub nowszej. Do czasu aktualizacji rozważ ograniczenie możliwości umieszczania znaczników przez niezaufanych użytkowników.
Inne podatności w tarteaucitron.js
Zobacz wszystkie- CVE-2026-111714Niskie
Biblioteka tarteaucitron.js przed wersją 1.37.0 zawiera lukę typu ReDoS (Regular Expression Denial of Service), która pozwala atakującym blokować strony odwiedzających poprzez dostarczenie nieescapowanych nazw ciasteczek do cookie.purge. Atakujący może zasadzić ciasteczko z siostrzanej subdomeny lub wstrzyknąć element purgeBtn ze wzorcem data-cookie powodującym katastrofalne cofanie się wyrażenia regularnego.
- CVE-2026-49977Średnie
Podatność w tarteaucitron.js przed wersją 1.33.0. Funkcja tarteaucitron.cookie.purge() jest wywoływana na dowolnym elemencie z klasą purgeBtn bez sprawdzenia, czy jest to przycisk tarteaucitron. Atakujący może usunąć nie-HttpOnly ciasteczko o znanej nazwie poprzez kliknięcie przez użytkownika.
Oryginalny opis (angielski, źródło NVD)
tarteaucitron.js before 1.37.0 contains a cross-site scripting vulnerability because getElemAttr resolves 'data-' prefixed attributes while the https-only guard validates the unprefixed attribute. Attackers who can place markup, such as CMS authors, can add data-url with a javascript: URL beside a benign url to execute script in the site's origin via iframe src.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS