CVE-2023-34840

شرح الثغرة

جميع الإصدارات في angular-ui-notification معرضة لـ XSS بسبب عدم قيام المكتبة بتنقية المدخلات المقدمة من المستخدم.

لاستخدام هذه المكتبة بأمان، يُوصى بشدة بتنقية/ترميز المعاملات التي تمرر للمكتبة، مثل ما يلي:

private sanitizeHTML(str: string) {
    return str.replace(/[^\w. ]/gi, (c) => `&#${c.charCodeAt(0)};`);
  }

الاستغلال

لنفترض أن المكتبة قد تم استيرادها وتستخدم حالياً في مشروع. قد يبدو استخدام هذه المكتبة كالتالي:

private showNotification(message: string, delay: number, type: NotificationType) {
  this.Notification.clearAll();
  
  this.Notification[type]({
    message,
    delay,
    replaceMessage: true
  });
}

إذا تم تمرير أي مدخلات من المستخدم مباشرة إلى وسيط message، فإن أي وسم <script> سيكون كافياً لتنفيذ هجوم XSS.

وسم بسيط مثل <script>alert(1)</script> سيكون كافياً.

تم الاختبار على

• https://github.com/alexcrack/angular-ui-notification - 0.1.0
• https://github.com/alexcrack/angular-ui-notification - 0.2.0
• https://github.com/alexcrack/angular-ui-notification - 0.3.6

تم الاكتشاف بواسطة

Xh4H

ملاحظات ختامية

يبدو أن المشروع لم يعد تتم صيانته، لذلك أوصي بشدة باستخدام بدائل مُدارة.