CVE-2021-37634highCWE-79

CVE-2021-37634: fallo de gravedad alta en vapor leaf-kit

LeafKit allows XSS with untrusted user input

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear leaf-kit

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.4epss 0.7%
En resumen

El motor de plantillas LeafKit no escapaba entrada de usuario en etiquetas de variable antes de la versión 1.3.0, permitiendo que atacantes inyecten scripts maliciosos en páginas web. Si un sitio muestra datos no confiables a través de LeafKit sin sanitización adecuada, los visitantes pueden ser engañados para ejecutar código controlado por el atacante.

Detalle técnico

Vulnerabilidad de Cross-site Scripting (XSS) en LeafKit < 1.3.0 donde las etiquetas de variable no escapan la entrada proporcionada por el usuario, habilitando inyección de scripts en HTML renderizado. El vector de ataque requiere que una aplicación pase datos no sanitizados a plantillas Leaf; el impacto incluye robo de sesión, hurto de credenciales y distribución de malware si Content Security Policy no está habilitada.

Resumen generado y traducido por IA a partir de la descripción oficial.
Leafkit is a templating language with Swift-inspired syntax. Versions prior to 1.3.0 are susceptible to Cross-site Scripting (XSS) attacks. This affects anyone passing unsanitised data to Leaf's variable tags. Before this fix, Leaf would not escape any strings passed to tags as variables. If an attacker managed to find a variable that was rendered with their unsanitised data, they could inject scripts into a generated Leaf page, which could enable XSS attacks if other mitigations such as a Content Security Policy were not enabled. This has been patched in 1.3.0. As a workaround sanitize any untrusted input before passing it to Leaf and enable a CSP to block inline script and CSS data.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N
Productos afectados
vapor · leaf-kit
CVEs relacionadas — vapor leaf-kit

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-28499MEDIUMLeafKit's HTML escaping may be skipped for Collection values, enabling XSSEPSS 0.3%CVE-2026-27120MEDIUMLeaf-kit html escaping does not work on characters that are part of extended grapheme clusterEPSS 0.3%