Informazioni sul CVE-2025-27108
Cross-site Scripting vulnerability due to improper use of string.replace in dom-expressions
CWE ID: CWE-79
Base Score (CVSS): N/A
CVE: CVE-2025-27108
Descrizione: dom-expressions è un runtime runtime per rendering DOM performante e raffinato. In versioni colpite, l’uso di `.replace()` in JavaScript può aprire a potenziali vulnerabilità di Cross-site Scripting (XSS) con i pattern di sostituzione speciali che iniziano con `$`. In particolare, quando gli attributi del tag Meta da solid-meta sono dati forniti dall’utente, gli attaccanti possono utilizzare i pattern di sostituzione speciali, sia `$` o `$\“, per raggiungere XSS. Il pacchetto solid-meta ha questo problema perché utilizza `useAffect` e provider di contesto, che inserisce i contenuti utilizzati nell’header HTML. dom-expressions utilizza `.replace()` per inserire i contenuti, rendendolo vulnerabile ai pattern di sostituzione speciali elencati sopra. Ciò significa che se gli attributi di un tag di asset contenessero dati controllati dall’utente, sarebbe vulnerabile a XSS. Ad esempio, potrebbero esserci tag Meta per il protocollo Open Graph in una pagina di profilo utente, ma se gli attaccanti impostano la query utente a un payload abusando `.replace()`, potrebbero eseguire JavaScript arbitrario nel browser del vittima. Inoltre, potrebbe essere memorizzato e causare ulteriori problemi. Questo problema è stato risolto in versione 0.39.5 e gli utenti sono consigliati di aggiornare. Non ci sono soluzioni note per questa vulnerabilità.
Vettore di attacco CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
Punteggio CVSS
Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.
Riassunto: Accesso: Network, Privilegi: None, Interazione utente: None, Confidenzialità: Low, Integrità: Low, Disponibilità: Low.
Dettaglio del Vettore
| Metrica | Valore | Significato | Descrizione |
|---|---|---|---|
| Attack Vector (AV) | N | Network | L’attacco può essere eseguito da remoto attraverso la rete. |
| Attack Complexity (AC) | L | Low | L’attacco non richiede condizioni particolari. |
| Privileges Required (PR) | N | None | Non sono richiesti privilegi. |
| User Interaction (UI) | N | None | Non è richiesta interazione dell’utente. |
| Scope (S) | U | Unchanged | Il raggio d’azione non cambia. |
| Confidentiality Impact (C) | L | Low | Impatto limitato. |
| Integrity Impact (I) | L | Low | Impatto limitato. |
| Availability Impact (A) | L | Low | Interferenza limitata. |
Riferimenti esterni
- https://github.com/ryansolid/dom-expressions/security/advisories/GHSA-hw62-58pr-7wc5
- https://github.com/ryansolid/dom-expressions/commit/521f75dfa89ed24161646e7007d9d7d21da07767
Prodotti interessati
- ryansolid – dom-expressions
Relazioni con altri prodotti
Produttore:ryansolid
Prodotto: dom-expressions
Anno: 2025
CWE: CWE-79
CVSS: 0.0