XSS (Cross-Site Scripting) dans @novu/js (CVE-2026-75510)
Résumé
XSS dans @novu/js (CVE-2026-75510). Risque d'opérations non autorisées ou de divulgation. Exploitable via POST /v1/workflows. Atténuation : mise à jour vers 3.18.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
The @novu/js In-App Inbox renderer passes a notification's redirect.url to window.open() with no URL-scheme validation. The value originates from a notification's call-to-action and is delivered to the recipient verbatim.
An authenticated organization member (or any holder of the environment API key) creates a v1 in-app workflow whose step CTA stores cta.data = { url: "javascript:", target: "_self" }. The v1 message-template cta.data field is a Mongoose Mixed type, so the arbitrary target key is accepted and persisted. The server-side inbox mapper copies cta.data.url and cta.data.target into the notification's redirect object with no scheme check. Novu's v2 control schema validates redirect URLs against redirectUrlRegex (which rejects javascript:), proving the intended invariant; the v1 path and the client renderer do not enforce it.
When the recipient clicks the notification, the inbox calls window.open(url, "_self", "noopener noreferrer"). In Chromium browsers a javascript: URL opened with target="_self" executes in the current document origin (the default _blank is browser-blocked, so the attacker sets _self).
Result: a low-privilege content author runs arbitrary JavaScript in the browser of every recipient who clicks, in the origin that hosts the inbox (the customer application or the self-hosted Novu dashboard, neither of which sends a CSP).
Affected
novuhq/novu self-hosted and cloud, API <= v3.15.0; @novu/js <= 3.1…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-75510 a été découverte dans @novu/js.
Des attaquants peuvent cibler un point d'entrée spécifique comme POST /v1/workflows à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour @novu/js vers 3.18.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « @novu/js CVE-2026-75510 » sur le site de l'éditeur.
CVE-2026-75510 (@novu/js) — CWE-79
Surface d'attaque : POST /v1/workflows / POST /v1/inbox/session / GET /v1/inbox/notifications / redirect.url
Correctif : 3.18.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une XSS (CWE-79) affecte @novu/js. Les attaquants atteignent le code vulnérable via POST /v1/workflows.
Consultez l'avis de l'éditeur pour les versions affectées de @novu/js. Surface d'attaque : POST /v1/workflows / POST /v1/inbox/session / GET /v1/inbox/notifications / redirect.url.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 3.18.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs webserver/proxy/WAF des requêtes anormales vers POST /v1/workflows (en-têtes d'auth malformés, méta-caractères SQL). Auditez les fichiers de dépendances pour trouver @novu/js.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r '@novu/js' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
@novu/jsを grep し、稼働しているサービス・バージョンを把握する。 -
2Hunt for indicators of compromise detect
grep 'POST /v1/workflows' /var/log/nginx/access.log | grep -E '(unusual_payload|sqli_pattern)'アクセスログで
POST /v1/workflowsへの異常なリクエスト (不正な認証ヘッダ・SQLメタ文字)を過去 30〜90日分捜索。WAF/SIEM があれば該当パスのアラート発火履歴を確認。 -
3Apply patch patch
Upgrade @novu/js to 3.18.0ステージング環境で 3.18.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスと、Step 2 で見つけた異常検知の続報チェックを含めること。
-
4Post-deployment verification verify
Replay attack against POST /v1/workflows on staging to confirm patch closes the vectorパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 2 と同じログクエリでアラート再発が無いか継続監視。
Paquets affectés
Références
- web github.com
- web github.com
- web github.com
- web github.com
- web nvd.nist.gov
- web github.com