CVE-2021-22540CWE-79

CVE-2021-22540: falha em Google LLC Dart SDK

XSS in Dart SDK

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Dart SDK

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

3Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackepss 0.7%
Em resumo

O Dart SDK anterior à versão 2.12.3 tem uma falha que permite que atacantes injetem scripts maliciosos através de DOM clobbering usando tags de template. Isso significa que conteúdo não confiável poderia executar código indesejado nos navegadores dos usuários.

Detalhe técnico

Um bypass na validação da função dart:html de criação de nós DOM falha em sanitizar adequadamente tags de template, permitindo ataques XSS baseados em DOM clobbering. Um atacante pode criar entrada maliciosa contendo elementos de template para injetar JavaScript arbitrário; a exploração requer que a aplicação processe entrada não confiável através da lógica de sanitização HTML vulnerável.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Bad validation logic in the Dart SDK versions prior to 2.12.3 allow an attacker to use an XSS attack via DOM clobbering. The validation logic in dart:html for creating DOM nodes from text did not sanitize properly when it came across template tags.
Produtos afetados
Google LLC · Dart SDK
CVEs relacionadas — Google LLC Dart SDK

No mesmo produto, das mais perigosas para as menos.

CVE-2022-0451MEDIUMAuth bypass in Dark SDKEPSS 1.0%CVE-2021-22568HIGHDart - Publishing to third-party package repositories may expose pub.dev credentialsEPSS 0.9%CVE-2021-22567MEDIUMBidirectional Override in Dart SDKEPSS 0.6%