CVE-2021-29503

HedgeDoc, markdown yazmak ve paylaşmak için kullanılan bir platformdur. 1.8.2 sürümünden önceki HedgeDoc, bir notun YAML-metadata kısmını kullanan bir siteler arası betik çalıştırma (XSS) saldırısına karşı savunmasızdır. Bir nota yazma erişimi olan bir saldırgan, notun Open Graph metadata bölümüne HTML etiketleri yerleştirebilir; bu durum, ön yüzün betik etiketini `<head>` bölümünün bir parçası olarak işlemesine neden olur. Örneğiniz konukların notları düzenlemesini engellemediği sürece, bu güvenlik açığı kimliği doğrulanmamış saldırganların konuk düzenlemelerine izin veren notlara JavaScript enjekte etmesine olanak tanır. Eğer örneğiniz konukların notları düzenlemesini engelliyorsa, bu güvenlik açığı kimliği doğrulanmış saldırganların yazma erişimine sahip oldukları herhangi bir not sayfasına JavaScript enjekte etmesine olanak tanır. Bu güvenlik açığı 1.8.2 sürümünde giderilmiştir. Geçici bir çözüm olarak, bir sonraki güncellemeye kadar konuk düzenlemeleri devre dışı bırakılabilir.