CVE-2021-37634

Leafkit, Swift tabanlı sözdizimine sahip bir şablon dilidir. 1.3.0 öncesindeki sürümler Siteler Arası Betik Çalıştırma (XSS) saldırılarına karşı savunmasızdır. Bu durum, Leaf'in değişken etiketlerine temizlenmemiş veri gönderen herkesi etkilemektedir. Bu düzeltmeden önce Leaf, değişken olarak etiketlere iletilen hiçbir dizeyi kaçış karakterine tabi tutmuyordu. Bir saldırgan, temizlenmemiş verileriyle işlenen bir değişken bulmayı başarırsa, oluşturulan bir Leaf sayfasına betikler enjekte edebilir; bu da İçerik Güvenliği Politikası (CSP) gibi diğer önlemler etkin değilse XSS saldırılarını mümkün kılabilir. Bu sorun 1.3.0 sürümünde giderilmiştir. Geçici çözüm olarak, güvenilmeyen tüm girdileri Leaf'e aktarmadan önce temizleyin ve satır içi betik ile CSS verilerini engellemek için bir CSP etkinleştirin.