CVE-2024-43788

Резюме

Webpack — это модульный сборщик. Его основное назначение — объединение JavaScript-файлов для использования в браузере, однако он также способен преобразовывать, объединять или упаковывать практически любые ресурсы или активы. Разработчики Webpack обнаружили уязвимость типа DOM Clobbering в `AutoPublicPathRuntimeModule` Webpack. Гаджет DOM Clobbering в этом модуле может привести к межсайтовому скриптингу (XSS) на веб-страницах, где присутствуют управляемые атакующим HTML-элементы без скриптов (например, тег `img` с несанитизированным атрибутом `name`). Реальная эксплуатация этого гаджета была замечена в Canvas LMS, где XSS-атака происходит через JavaScript-код, скомпилированный Webpack (уязвимая часть принадлежит Webpack). DOM Clobbering — это тип атаки с повторным использованием кода, при которой атакующий сначала внедряет на веб-страницу фрагмент не-скриптовой, на первый взгляд безобидной HTML-разметки (например, через пост или комментарий), а затем использует гаджеты (фрагменты JS-кода), находящиеся в существующем JavaScript-коде, чтобы преобразовать её в исполняемый код. Эта уязвимость может привести к межсайтовому скриптингу (XSS) на сайтах, которые включают файлы, сгенерированные Webpack, и позволяют пользователям внедрять определённые HTML-теги без скриптов с некорректно санитизированными атрибутами `name` или `id`. Эта проблема устранена в версии релиза 5.94.0. Всем пользователям рекомендуется обновиться. Известных обходных путей для этой проблемы нет.

• webpack-cve-2024-43788Исследования

  Анализирует и демонстрирует уязвимость webpack CVE-2024-43788, предоставляя информацию об обнаружении и эксплуатации для исследователей безопасности.