Anote 1.0 contains a persistent cross-site scripting vulnerability that allows attackers to...
Résumé
Anote 1.0 contains a persistent cross-site scripting vulnerability that allows attackers to...
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Anote 1.0 contains a persistent cross-site scripting vulnerability that allows attackers to execute arbitrary code by injecting malicious payloads into markdown files stored within the application. Attackers can craft malicious markdown files with embedded JavaScript that executes system commands when opened, enabling remote code execution on the victim's computer.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2021-47963 a été découverte dans markdown.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.2/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « markdown CVE-2021-47963 » sur le site de l'éditeur.
CVE-2021-47963 (markdown) — CWE-79 / CVSS v3 7.2
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Anote 1.0には、マークダウンファイルに悪意のあるペイロードを注入することにより任意のコードを実行できるクロスサイトスクリプティングの脆弱性があります。
Anote 1.0 バージョンのアプリケーション内
悪意のある攻撃者がこの脆弱性を利用することで、被害者のコンピュータ上でリモートコードを実行する可能性があります。
アプリケーションのソースコードを修正し、ユーザー入力をサニタイズして不正なスクリプトの挿入を防ぐパッチを適用してください。
Markdownファイルのアップロードを一時的に無効にするか、特定のJavaScriptの実行をブロックします。
ログを確認し、Markdownファイルに埋め込まれているJavaScriptの存在を検査することで影響を判断します。
Références
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com