CVE-2021-37634

LeafKit allows XSS with untrusted user input

CVSS 7.4 HIGHEPSS 0.7%CWE-79

En resumen

El motor de plantillas LeafKit no escapaba entrada de usuario en etiquetas de variable antes de la versión 1.3.0, permitiendo que atacantes inyecten scripts maliciosos en páginas web. Si un sitio muestra datos no confiables a través de LeafKit sin sanitización adecuada, los visitantes pueden ser engañados para ejecutar código controlado por el atacante.

Detalle técnico

Vulnerabilidad de Cross-site Scripting (XSS) en LeafKit < 1.3.0 donde las etiquetas de variable no escapan la entrada proporcionada por el usuario, habilitando inyección de scripts en HTML renderizado. El vector de ataque requiere que una aplicación pase datos no sanitizados a plantillas Leaf; el impacto incluye robo de sesión, hurto de credenciales y distribución de malware si Content Security Policy no está habilitada.

Resumen generado y traducido por IA a partir de la descripción oficial.

Leafkit is a templating language with Swift-inspired syntax. Versions prior to 1.3.0 are susceptible to Cross-site Scripting (XSS) attacks. This affects anyone passing unsanitised data to Leaf's variable tags. Before this fix, Leaf would not escape any strings passed to tags as variables. If an attacker managed to find a variable that was rendered with their unsanitised data, they could inject scripts into a generated Leaf page, which could enable XSS attacks if other mitigations such as a Content Security Policy were not enabled. This has been patched in 1.3.0. As a workaround sanitize any untrusted input before passing it to Leaf and enable a CSP to block inline script and CSS data.

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N

Productos afectados

vapor · leaf-kit

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://github.com/vapor/leaf-kit-ghsa-rv3x-xq3r-8j9h/pull/1 https://github.com/vapor/leaf-kit/security/advisories/GHSA-rv3x-xq3r-8j9h