BDU:2021-00576 (CVE-2020-26870)

Уязвимость библиотеки DOMPurify, связанная с непринятием мер по защите структуры веб-старницы, позволяющая нарушителю осуществить межсайтовую сценарную атаку

Опубликовано: 2021-02-08

Описание

Уязвимость библиотеки DOMPurify связана с непринятием мер по защите структуры веб-старницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить межсайтовую сценарную атаку

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Microsoft Visual Studio 2019 (16.0)Microsoft Visual Studio 2019 (от 16.0 до 16.3 включительно)Microsoft Visual Studio 2019 (от 16.0 до 16.6 включительно)Microsoft Visual Studio 2019 (16.8)DOMPurify (до 2.0.17)Microsoft Visual Studio 2017 (от 15.0 до 15.8 включительно)

Способ устранения

Использование рекомендаций:
Для DOMPurify:
https://github.com/cure53/DOMPurify/commit/02724b8eb048dd219d6725b05c3000936f11d62d

Для программных продуктов Microsoft Corp.:
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-26870

Для Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2020/10/msg00029.html

Оценка CVSS

Балл	5.8 — средняя опасность

Источники и патчи

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-26870 https://lists.debian.org/debian-lts-announce/2020/10/msg00029.html Mailing List Third Party Advisory https://research.securitum.com/mutation-xss-via-mathml-mutation-dompurify-2-0-17-bypass/https://github.com/cure53/DOMPurify/commit/02724b8eb048dd219d6725b05c3000936f11d62d

Проверьте безопасность своего сайта и почты → Полная проверка домена