DiscordChatExporter saves Discord chat logs to a file. Prior to 2.47.2, HTML exports generated with markdown formatting disabled pass attacker-controlled content through FormatMarkdownAsync and Format...
概要
DiscordChatExporter saves Discord chat logs to a file. Prior to 2.47.2, HTML exports generated with markdown formatting disabled pass attacker-controlled content through FormatMarkdownAsync and FormatEmbedMarkdownAsync in DiscordChatExporter.Core/Exporting/MessageGroupTemplate.cshtml and render it w...
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
DiscordChatExporter saves Discord chat logs to a file. Prior to 2.47.2, HTML exports generated with markdown formatting disabled pass attacker-controlled content through FormatMarkdownAsync and FormatEmbedMarkdownAsync in DiscordChatExporter.Core/Exporting/MessageGroupTemplate.cshtml and render it without HTML entity encoding. The affected fields include message.Content, message.ForwardedMessage.Content, message.ReferencedMessage.Content, embed.Title, embed.Description, field.Name, and field.Value. A Discord webhook or bot can store a script payload in these fields, and the payload executes when a user exports the channel with markdown formatting disabled and opens the resulting HTML, allowing the script to read the export or alter its displayed content. This issue is fixed in version 2.47.2.
出典: NIST National Vulnerability Database NVD
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
DiscordChatExporterにおける脆弱性により、HTMLエクスポート時に攻撃者制御のコンテンツがエンコードされずに実行される可能性があります。これにより、スクリプトがユーザーに表示されたり、エクスポートされたデータが変更されたりする恐れがあります。問題はバージョン2.47.2で解決済みです。
DiscordChatExporterでエンコードされていないユーザー提供のコンテンツが実行される脆弱性。
DiscordChatExporterのバージョン2.47.2以前。
ユーザーがエクスポートされたHTMLファイルを開くときにスクリプトが実行され、情報漏洩や表示変更が発生する可能性があるため重大。
DiscordChatExporterをバージョン2.47.2にアップデートする。
情報なし
HTMLエクスポート時に表示異常や不正なスクリプトの挙動を確認する。