HedgeDoc — это платформа для совместной работы, предназначенная для написания и обмена документами в формате markdown. В HedgeDoc до версии…

HedgeDoc — это платформа для совместной работы, предназначенная для написания и обмена документами в формате markdown. В HedgeDoc до версии 1.7.1 злоумышленник может внедрять произвольные теги `script` в заметки HedgeDoc, используя диаграммы mermaid. Наша политика безопасности содержимого предотвращает загрузку скриптов из большинства мест, но `www.google-analytics.com` разрешен. Используя Google Tag Manager, можно внедрить произвольный JavaScript и выполнить его при загрузке страницы. В зависимости от конфигурации экземпляра злоумышленнику может не потребоваться аутентификация для создания или редактирования заметок. Проблема устранена в HedgeDoc 1.7.1. В качестве обходного пути можно запретить `www.google-analytics.com` в заголовке `Content-Security-Policy`. Обратите внимание, что могут существовать другие способы использования внедрения тега `script`.