Qwik - это javascript-фреймворк, ориентированный на производительность. В Qwik существует потенциальная уязвимость мутации XSS для версий д…

Qwik - это javascript-фреймворк, ориентированный на производительность. В Qwik существует потенциальная уязвимость мутации XSS для версий до 1.6.0, но не включая ее. Qwik неправильно экранирует HTML при рендеринге на стороне сервера. Он преобразует строки в соответствии с правилами, найденными в файле `render-ssr.ts`. Иногда это приводит к тому, что окончательное дерево DOM, отображаемое в браузерах, отличается от того, что Qwik ожидает при рендеринге на стороне сервера. Это можно использовать для выполнения XSS-атак, и тип XSS известен как mXSS (mutation XSS). Это было устранено в qwik версии 1.6.0 и @builder.io/qwik версии 1.7.3. Всем пользователям рекомендуется обновиться. Известных обходных путей для этой уязвимости нет.