Waline（@waline/client）にストアド型XSSの脆弱性、閲覧者のブラウザで任意のスクリプトが実行されるおそれ
Summary
Waline（@waline/client）の UserList ウィジェットに、コメント投稿者のリンク欄をエスケープせずに表示する脆弱性が見つかりました。3.15.2以前が対象で、未認証の訪問者でも細工したリンクを投稿でき、そのページを開いたすべての閲覧者のブラウザで操作なしにスクリプトが実行されるおそれがあります。公開時点で修正版は公開されていないため、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Waline（@waline/client）の UserList ウィジェットに、コメント投稿者のリンク欄をエスケープせずに表示する脆弱性が見つかりました。3.15.2以前が対象で、未認証の訪問者でも細工したリンクを投稿でき、そのページを開いたすべての閲覧者のブラウザで操作なしにスクリプトが実行されるおそれがあります。公開時点で修正版は公開されていないため、最新の情報を確認してください。
Original description The description as published by the source.
Waline is a comment system with backend support. In versions 3.15.2 and prior, the @waline/client UserList widget builds its DOM by concatenating server-returned commenter fields directly into root.innerHTML with no HTML escaping. The commenter nick and link are stored and returned verbatim by the server (only the comment body is sanitized), and the link field is never sent to the spam filter. So an unauthenticated visitor who posts a comment with link = x"> achieves stored cross-site scripting that executes, with no interaction, in the browser of every visitor to a page that embeds the UserList widget. At time of publication, there are no publicly available patches.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory nvd.nist.gov
- web security-advisories@github.com