CVE-2021-37634

Leafkit, Swift-dən ilhamlanmış sintaksisə malik şablon dilidir. 1.3.0 versiyasından əvvəlki versiyalar saytlararası skriptinq (XSS) hücumlarına qarşı həssasdır. Bu, təmizlənməmiş məlumatları Leaf-in dəyişən teqlərinə ötürən hər kəsə təsir edir. Bu düzəlişdən əvvəl Leaf, teqlərə dəyişən kimi ötürülən heç bir sətri ekranlaşdırmırdı (escape etmirdilər). Əgər hücumçu özünün təmizlənməmiş məlumatları ilə render edilən bir dəyişən tapsa, generasiya olunmuş Leaf səhifəsinə skriptlər yerləşdirə bilərdi ki, bu da Content Security Policy kimi digər yüngülləşdirici tədbirlər aktiv deyilsə, XSS hücumlarını mümkün edirdi. Bu problem 1.3.0 versiyasında aradan qaldırılıb. Müvəqqəti həll yolu kimi, istənilən etibarsız girişi Leaf-ə ötürməzdən əvvəl təmizləyin və daxili (inline) skript və CSS məlumatlarını bloklamaq üçün CSP-ni aktiv edin.