CVE-2023-38687

Svelecte, Svelte ile yazılmış esnek bir otomatik tamamlama/seçim bileşenidir. Svelecte öğe isimleri, herhangi bir kaçış işlemi uygulanmadan ham HTML olarak işlenmektedir. Bu durum, Svelecte açılır menüsüne rastgele HTML enjekte edilmesine olanak tanır. Bu açık, bir Svelecte açılır menüsü her açıldığında rastgele JavaScript çalıştırılmak için istismar edilebilir. Svelecte'ye verilen öğe isimlerinin varsayılan öğe oluşturucu tarafından doğrudan HTML olarak işlendiği görülmektedir. Bu, isimdeki tüm HTML etiketlerinin metin olarak değil, HTML öğeleri olarak işlendiği anlamına gelir. https://mskocik.github.io/svelecte/#item-rendering adresinde gösterilen özel öğe oluşturucunun da aynı istismara karşı savunmasız olduğu unutulmamalıdır. Harici bir kaynaktan veya kullanıcı tarafından oluşturulan içerikten gelen dinamik olarak oluşturulmuş öğelerle Svelecte kullanan herhangi bir site; XSS saldırısına (güvenilmeyen JavaScript yürütülmesi), tıklama avcılığına (clickjacking) veya rastgele HTML enjeksiyonu ile gerçekleştirilebilecek diğer saldırılara karşı savunmasız olabilir. Bu güvenlik açığının belirli bir uygulama üzerindeki gerçek etkisi, Svelecte öğelerini sağlayan kaynakların ne kadar güvenilir olduğuna ve uygulamanın XSS saldırılarını hafifletmek için aldığı önlemlere bağlıdır. Bu güvenlik açığını kullanan XSS saldırıları, çoğunlukla satır içi JavaScript'i engelleyen bir İçerik Güvenlik Politikası (CSP) ile hafifletilmektedir. Bu sorun versiyon 3.16.3'te giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.