Cross-Site Scripting (XSS) in Anote (CVE-2021-47963)
Summary
Cross-site scripting in Anote (CVE-2021-47963). Risk of unauthorized operations or information disclosure.
Original description
The description as published by the source.
Anote 1.0 contains a persistent cross-site scripting vulnerability that allows attackers to execute arbitrary code by injecting malicious payloads into markdown files stored within the application. Attackers can craft malicious markdown files with embedded JavaScript that executes system commands when opened, enabling remote code execution on the victim's computer.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Anote 1.0には、マークダウンファイル内に悪意のあるペイロードを注入することで任意のコードを実行できる永続的なクロスサイトスクリプティングの脆弱性があります。攻撃者はこの脆弱性を利用して、特定のJavaScriptをファイルに埋め込み、被害者のコンピュータ上でシステムコマンドを実行することが可能です。
Anote 1.0には、マークダウンファイルに悪意のあるペイロードを注入することにより任意のコードを実行できるクロスサイトスクリプティングの脆弱性があります。
Anote 1.0 バージョンのアプリケーション内
悪意のある攻撃者がこの脆弱性を利用することで、被害者のコンピュータ上でリモートコードを実行する可能性があります。
アプリケーションのソースコードを修正し、ユーザー入力をサニタイズして不正なスクリプトの挿入を防ぐパッチを適用してください。
Markdownファイルのアップロードを一時的に無効にするか、特定のJavaScriptの実行をブロックします。
ログを確認し、Markdownファイルに埋め込まれているJavaScriptの存在を検査することで影響を判断します。
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com