CVE-2021-22540CWE-79

XSS in Dart SDK

3Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 0.7%

probabilidad de explotación

0.7%top 49% de las CVE

explotación observada

noninguna fuente lo reporta

En resumen

El Dart SDK anterior a la versión 2.12.3 tiene una falla que permite a los atacantes inyectar scripts maliciosos mediante DOM clobbering usando etiquetas de plantilla. Esto significa que el contenido no confiable podría ejecutar código no deseado en los navegadores de los usuarios.

Detalle técnico

Un bypass en la validación de la creación de nodos DOM de dart:html no sanitiza adecuadamente etiquetas de plantilla, permitiendo ataques XSS basados en DOM clobbering. Un atacante puede crear entrada maliciosa conteniendo elementos de plantilla para inyectar JavaScript arbitrario; la explotación requiere que la aplicación procese entrada no confiable a través de la lógica de sanitización HTML vulnerable.

Resumen generado y traducido por IA a partir de la descripción oficial.

Bad validation logic in the Dart SDK versions prior to 2.12.3 allow an attacker to use an XSS attack via DOM clobbering. The validation logic in dart:html for creating DOM nodes from text did not sanitize properly when it came across template tags.

Productos afectados

Google LLC · Dart SDK

Referencias

https://github.com/dart-lang/sdk/commit/ce5a1c2392debce967415d4c09359ff2555e3588 https://github.com/dart-lang/sdk/security/advisories/GHSA-3rfv-4jvg-9522