CVE-2026-50290
Təsvir
SpecifyJS deklarativ TypeScript istifadəçi interfeysi freymvorkudur. Versiya 0.2.136-dan əvvəl, CSS dəyərlərinin təmizlənməsi prosesi sadə reqex vasitəsilə `expression(` və `url(javascript:` ifadələrini silirdi, lakin bu, CSS unicode escape-ləri (`\65xpression(`), null baytlar və ya CSS şərhləri (`exp/**/ression(`) ilə yan keçilə bilirdi. Bu CSS inyeksiya vektorları yalnız köhnə brauzerlərdə (IE6-IE10) işləyir. SpecifyJS müasir brauzerlərə hədəflənmişdir. Versiya 0.2.136-dan başlayaraq, CSS təmizlənməsi artıq şablon uyğunlaşdırmadan əvvəl unicode escape-ləri normallaşdırır və CSS şərhlərini silir. Həmçinin `behavior:`, `-moz-binding` və `-o-link` şablonlarının yoxlanılması həyata keçirilir.
Necə düzəltmək olar
- @asymmetric-effort/specifyjs0.2.136 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @asymmetric-effort/specifyjsnpm | v < 0.2.136 | 0.2.136 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.