Podatności tarteaucitron.js

Biblioteka tarteaucitron.js przed wersją 1.37.0 zawiera lukę typu ReDoS (Regular Expression Denial of Service), która pozwala atakującym blokować strony odwiedzających poprzez dostarczenie nieescapowanych nazw ciasteczek do cookie.purge. Atakujący może zasadzić ciasteczko z siostrzanej subdomeny lub wstrzyknąć element purgeBtn ze wzorcem data-cookie powodującym katastrofalne cofanie się wyrażenia regularnego.

tarteaucitron.js przed wersją 1.37.0 zawiera podatność cross-site scripting, ponieważ getElemAttr rozwiązuje atrybuty z prefiksem 'data-', podczas gdy zabezpieczenie https-only waliduje atrybut bez prefiksu. Atakujący mogący umieścić znaczniki, tacy jak autorzy CMS, mogą dodać data-url z adresem javascript: obok nieszkodliwego url, aby wykonać skrypt w origin witryny poprzez iframe src.

Podatność w tarteaucitron.js przed wersją 1.33.0. Funkcja tarteaucitron.cookie.purge() jest wywoływana na dowolnym elemencie z klasą purgeBtn bez sprawdzenia, czy jest to przycisk tarteaucitron. Atakujący może usunąć nie-HttpOnly ciasteczko o znanej nazwie poprzez kliknięcie przez użytkownika.