Zipline脆弱性2件、XSSと認証回避 4.5.1に更新
Summary
Ziplineに、細工したファイルで閲覧者のブラウザー上でスクリプトが動く脆弱性と、パスキー認証を回避される脆弱性の2件が公表されました。社内外でファイル共有に使っている組織は4.5.1へ更新し、管理者アカウントの操作履歴も点検してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Ziplineに、細工したファイルで閲覧者のブラウザー上でスクリプトが動く脆弱性と、パスキー認証を回避される脆弱性の2件が公表されました。社内外でファイル共有に使っている組織は4.5.1へ更新し、管理者アカウントの操作履歴も点検してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| dicedzipline |
< 4.5.1→ 4.5.1 |
4.5.1 |
Original description The description as published by the source.
Zipline before 4.5.1 contains a stored cross-site scripting vulnerability in the HighlightCode component that renders unescaped file content before highlight.js finishes loading. Authenticated attackers can upload text files containing HTML/JavaScript payloads that execute in viewers' browsers, enabling API calls such as account changes on the victim's behalf.
Source: CVE.org (CVE Program・cvelistV5) NVD