CVE-2024-43800: falha de média gravidade em expressjs serve-static
serve-static affected by template injection that can lead to XSS
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Uma falha no serve-static permite que atacantes injetem código malicioso por meio de requisições especialmente preparadas que contornam a sanitização, potencialmente executando scripts não autorizados nos navegadores dos usuários.
A vulnerabilidade está na função redirect() que, apesar de tentar sanitizar dados do usuário, ainda passa entrada não confiável para execução de código; isso permite injeção de template que resulta em XSS. O vetor de ataque é via requisições HTTP com parâmetros de redirecionamento manipulados; pré-condição é que o atacante controle a entrada do usuário que chega à função redirect(). O impacto inclui execução arbitrária de script no contexto da sessão do navegador da vítima.