CVE-2024-41662

Markdown XSS, VNote संस्करण <=3.18.1 में RCE की ओर ले जाता है

गंभीरता : उच्च (8.6)

CVSS स्कोर : CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

सारांश :

VNote नोट-लेने वाले एप्लिकेशन के मार्कडाउन रेंडरिंग कार्यक्षमता में एक क्रॉस-साइट स्क्रिप्टिंग (XSS) कमजोरी पाई गई। यह कमजोरी मनमाने JavaScript कोड के इंजेक्शन और निष्पादन की अनुमति देती है, जो संभावित रूप से रिमोट कोड निष्पादन (RCE) की ओर ले जा सकती है।

पुनरुत्पादन के चरण :

1. Vnote में एक नोट बनाएं।
2. एप्लिकेशन में निम्नलिखित JS पेलोड दर्ज करें,

3. मार्कडाउन सामग्री को रेंडर करने के लिए CTRL+T दबाएं।
4. JavaScript पेलोड को एक अलर्ट पॉपअप निष्पादित करते हुए देखें।

दिए गए पेलोड के लिए कोई व्हाइटलिस्टिंग या आउटपुट एन्कोडिंग नहीं की जाती है, जिसके परिणामस्वरूप XSS कमजोरी होती है।

नोट: एप्लिकेशन एप्लिकेशन में आउटपुट एन्कोडिंग करके कुछ JavaScript पेलोड को उचित रूप से मान्य करता है। हालांकि, यह कुछ मामलों में मान्य करने में विफल रहता है।