CVE-2021-37700
Açıklama
@github/paste-markdown, markdown nesnelerini yapıştırmak için kullanılan bir npm paketidir. @github/paste-markdown'ın 0.3.4 sürümünden önceki versiyonlarında bir self Cross-Site Scripting zafiyeti bulunmaktadır. Pano verileri `<table>` dizesini içeriyorsa, dinamik olarak bir **div** oluşturulur ve pano içeriği herhangi bir temizleme işlemi yapılmadan bunun **innerHTML** özelliğine kopyalanır; bu durum, mağdurun (kodu yapıştıran kullanıcının) tarayıcısında JavaScript'in uygunsuz şekilde çalıştırılmasıyla sonuçlanır. Kötü niyetli bir web sitesinden metin kopyalamaya ve bunu bu kitaplığı kullanan sayfalara yapıştırmaya yönlendirilen kullanıcılar etkilenmektedir. Bu sorun 0.3.4 sürümünde düzeltilmiştir. Örnek bir exploit dahil olmak üzere daha fazla ayrıntı için ilgili GitHub Advisory'ye bakınız.
Nasıl düzeltilir
- paste-markdown_project paste-markdown0.3.4 ya da sonraki bir sürüm
- @github/paste-markdown0.3.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| paste-markdown_project paste-markdown | v < 0.3.4 | 0.3.4 |
| @github/paste-markdownnpm | v < 0.3.4 | 0.3.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.