CVE-2026-111714
NiskieCVSS 3.1Streszczenie
Biblioteka tarteaucitron.js przed wersją 1.37.0 zawiera lukę typu ReDoS (Regular Expression Denial of Service), która pozwala atakującym blokować strony odwiedzających poprzez dostarczenie nieescapowanych nazw ciasteczek do cookie.purge. Atakujący może zasadzić ciasteczko z siostrzanej subdomeny lub wstrzyknąć element purgeBtn ze wzorcem data-cookie powodującym katastrofalne cofanie się wyrażenia regularnego.
Ocena ryzyka
Odwiedzający stronę mogą doświadczyć zawieszenia przeglądarki po kliknięciu przycisku czyszczenia ciasteczek, co prowadzi do odmowy usługi po stronie klienta. Może to być wykorzystane do blokowania dostępu do witryny.
Rekomendacja
Zaktualizuj tarteaucitron.js do wersji 1.37.0 lub nowszej. Do czasu aktualizacji rozważ wyłączenie funkcji cookie.purge.
Inne podatności w tarteaucitron.js
Zobacz wszystkie- CVE-2026-111713Średnie
tarteaucitron.js przed wersją 1.37.0 zawiera podatność cross-site scripting, ponieważ getElemAttr rozwiązuje atrybuty z prefiksem 'data-', podczas gdy zabezpieczenie https-only waliduje atrybut bez prefiksu. Atakujący mogący umieścić znaczniki, tacy jak autorzy CMS, mogą dodać data-url z adresem javascript: obok nieszkodliwego url, aby wykonać skrypt w origin witryny poprzez iframe src.
- CVE-2026-49977Średnie
Podatność w tarteaucitron.js przed wersją 1.33.0. Funkcja tarteaucitron.cookie.purge() jest wywoływana na dowolnym elemencie z klasą purgeBtn bez sprawdzenia, czy jest to przycisk tarteaucitron. Atakujący może usunąć nie-HttpOnly ciasteczko o znanej nazwie poprzez kliknięcie przez użytkownika.
Oryginalny opis (angielski, źródło NVD)
tarteaucitron.js before 1.37.0 contains a regular expression denial of service vulnerability that allows attackers to block visitor pages by supplying unescaped cookie names to cookie.purge. Attackers can plant a cookie from a sibling subdomain or inject a purgeBtn element with a catastrophic-backtracking data-cookie pattern that freezes the page when the purge button is clicked.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS