CVE-2024-43788

Resumo

Webpack é um empacotador de módulos. Seu principal objetivo é agrupar arquivos JavaScript para uso em um navegador, mas também é capaz de transformar, agrupar ou empacotar praticamente qualquer recurso ou ativo. Os desenvolvedores do Webpack descobriram uma vulnerabilidade de DOM Clobbering no `AutoPublicPathRuntimeModule` do Webpack. O gadget de DOM Clobbering no módulo pode levar a cross-site scripting (XSS) em páginas web onde elementos HTML controlados pelo atacante e sem script (por exemplo, uma tag `img` com um atributo `name` não sanitizado) estão presentes. A exploração deste gadget no mundo real foi observada no Canvas LMS, que permite que um ataque de XSS ocorra por meio de um código JavaScript compilado pelo Webpack (a parte vulnerável é do Webpack). DOM Clobbering é um tipo de ataque de reutilização de código onde o atacante primeiro incorpora um trecho de marcação HTML não-script, aparentemente benigna, na página web (por exemplo, por meio de uma postagem ou comentário) e aproveita os gadgets (trechos de código JS) presentes no código JavaScript existente para transformá-la em código executável. Esta vulnerabilidade pode levar a cross-site scripting (XSS) em sites que incluem arquivos gerados pelo Webpack e permitem que usuários injetem certas tags HTML sem script com atributos `name` ou `id` sanitizados de forma inadequada. Este problema foi resolvido na versão de lançamento 5.94.0. Todos os usuários são aconselhados a atualizar. Não há soluções alternativas conhecidas para este problema.

• webpack-cve-2024-43788Pesquisa

  Analisa e demonstra a vulnerabilidade webpack CVE-2024-43788, fornecendo insights de detecção e exploração para pesquisadores de segurança.