CVE-2021-37634: falha de alta gravidade em vapor leaf-kit
LeafKit allows XSS with untrusted user input
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O mecanismo de templates LeafKit não escapava dados de entrada do usuário nas tags de variável antes da versão 1.3.0, permitindo que invasores injetassem scripts maliciosos em páginas web. Se um site exibir dados não confiáveis através do LeafKit sem sanitização adequada, visitantes podem ser enganados para executar código controlado pelo invasor.
Vulnerabilidade de Cross-site Scripting (XSS) no LeafKit < 1.3.0 onde tags de variável não escapam entrada fornecida pelo usuário, habilitando injeção de scripts no HTML renderizado. O vetor de ataque requer uma aplicação passando dados não sanitizados para templates Leaf; o impacto inclui roubo de sessão, furto de credenciais e distribuição de malware se Content Security Policy não estiver ativa.
No mesmo produto, das mais perigosas para as menos.