CVE-2021-21316

less-openui5, Less.js ilə OpenUI5 mövzularının yaradılmasına imkan verən bir npm paketidir. less-openui5-in 0.10 versiyasından əvvəlki versiyalarında, etibarsız mənbədən gələn mövzu resursları (yəni `*.less` faylları) emal edilərkən, həmin resurslar qurma prosesinin kontekstində icra olunacaq JavaScript kodu ehtiva edə bilər. Bu, Less.js kitabxanasının funksiyası olsa da, OpenUI5 və SAPUI5 tərtibatı kontekstində gözlənilməz davranışdır. Xüsusilə less-openui5-dən istifadə edən UI5 Tooling kontekstində bu risk mövcuddur. Hücumçu fərdiləşdirilmiş idarəetmə elementi və ya mövzu ehtiva edən kitabxana və ya mövzu-kitabxanası yarada və zərərli JavaScript kodunu .less fayllarının birində gizlədə bilər. Nümunələr üçün istinad verilmiş GHSA-3crj-w4f5-gwh4 sənədinə baxın. Less.js-in 3.0.0 versiyasından başlayaraq, Sətirdaxili JavaScript (Inline JavaScript) funksiyası standart olaraq deaktiv edilmişdir. Lakin less-openui5 hazırda Less.js v1.6.3-ün çatallanmış (fork) versiyasından istifadə edir. Qeyd edək ki, Less.js 1.x versiyalarında Sətirdaxili JavaScript funksiyasının deaktiv edilməsi, ətrafında əlavə qoşa dırnaq olan kodların hələ də qiymətləndirilməsinə səbəb olur. Biz Less.js çatallanmamızın kodundan sətirdaxili JavaScript qiymətləndirmə funksiyasını tamamilə çıxarmağa qərar verdik. Bu düzəliş less-openui5-in 0.10.0 versiyasında mövcuddur.