CVE-2024-40631

Plate media, React üçün açıq mənbəli zəngin mətn redaktorudur. `MediaEmbedElement` istifadə edən və `useMediaState` hook-una xüsusi `urlParsers` ötürən redaktorlar, əgər xüsusi parser `javascript:`, `data:` və ya `vbscript:` URL-lərinin yerləşdirilməsinə icazə verirsə, XSS hücumlarına qarşı həssas ola bilər. `urlParsers` istifadə etməyən və `url` xassəsini birbaşa istifadə edən redaktorlar da, əgər URL təmizlənməyibsə (sanitised), həssas ola bilər. Defolt parserlər olan `parseTwitterUrl` və `parseVideoUrl` bu problemdən təsirlənmir. `@udecode/plate-media` 36.0.10 versiyası parsing zamanı yalnız HTTP və HTTPS URL-lərinə icazə verməklə bu problemi həll edir. Bu, yalnız `useMediaState`-dən qaytarılan `embed` xassəsinə təsir edir. Əlavə olaraq, `useMediaState`-dən qaytarılan `url` xassəsi, onun təmizlənmədiyini bildirmək üçün `unsafeUrl` olaraq adlandırılıb. `element` üzərindəki `url` xassəsi də təhlükəlidir, lakin adı dəyişdirilməyib. Əgər bu xassələrdən hər hansı birini birbaşa istifadə edirsinizsə, URL-i yenə də özünüz yoxlamalısınız. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Yeniləmə imkanı olmayan istifadəçilər, hər hansı xüsusi `urlParsers`-lərin geri qaytarılan dəyərlərin `url` xassəsində `javascript:`, `data:` və ya `vbscript:` URL-lərinə icazə vermədiyindən əmin olmalıdırlar. Əgər `url` birbaşa istifadə edilirsə, onu `iframe` elementinə ötürməzdən əvvəl URL protokolunu yoxlayın.