Vulnerabilidad en excalidraw (CVE-2024-32472)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

17/04/2024

Última modificación:

18/04/2024

Descripción

excalidraw es una pizarra virtual de código abierto dibujada a mano. Una vulnerabilidad XSS almacenada en el componente web integrable de Excalidraw. Esto permite ejecutar JavaScript arbitrario en el contexto del dominio donde está alojado el editor. Había dos vectores. Uno que representa una cadena que no es de confianza como `srcdoc` de iframe sin desinfectar adecuadamente contra la inyección de HTML. En segundo lugar, mediante una desinfección inadecuada contra la inyección de atributos HTML. Esto, junto con permitir el indicador de zona de pruebas "permitir el mismo origen" (necesario para varias incrustaciones), dio como resultado el XSS. Esta vulnerabilidad se solucionó en 0.17.6 y 0.16.4.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.10 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.10

Gravedad 3.x

MEDIA

Vulnerabilidad en excalidraw (CVE-2024-32472)

Descripción

Impacto

Referencias a soluciones, herramientas e información