Podatności Trix

Trix, edytor tekstu bogatego WYSIWYG, przed wersją 2.1.17 jest podatny na cross-site scripting (XSS) przez atrybut data-trix-serialized-attributes, który omija filtr DOMPurify. Atakujący może stworzyć HTML z tym atrybutem zawierającym złośliwy kod, który po wyrenderowaniu wykonuje dowolny JavaScript w sesji użytkownika, co może prowadzić do nieautoryzowanych działań lub ujawnienia wrażliwych informacji.

Trix przed wersją 2.1.18 jest podatny na przechowywany cross-site scripting, gdy sformatowany HTML jest wklejany do edytora. HTMLParser przetwarza atrapę załącznika w <span> z pustym data-trix-attachment="{}", co powoduje zastosowanie data-trix-attributes do zwykłego ciągu znaków. StringPiece.fromJSON akceptuje niezweryfikowany href, umożliwiając URI javascript: wejście do modelu dokumentu i wykonanie po kliknięciu przez innego użytkownika.

Trix przed wersją 2.1.18 jest podatny na cross-site scripting, gdy spreparowany ładunek JSON application/x-trix-document zostanie upuszczony do edytora używającego fallback Level0InputController, takiego jak osadzony WebView bez wsparcia Input Events Level 2. Metoda StringPiece.fromJSON ufa atrybutom href z ładunku JSON bez sanityzacji, co pozwala przeciągalnemu elementowi zawierającemu URI javascript: na ominięcie sanityzacji DOMPurify i wstrzyknięcie wykonywalnego JavaScript do DOM. Wykorzystanie wymaga przeciągnięcia i upuszczenia przez ofiarę treści kontrolowanej przez atakującego, a sanityzacja HTML po stronie serwera może zneutralizować ładunek przy zapisie. Problem naprawiono w wersji 2.1.18.