Vite - это платформа для создания интерфейсных инструментов для javascript. Было обнаружено, что затронутые версии vite содержат уязвимость…

Vite - это платформа для создания интерфейсных инструментов для javascript. Было обнаружено, что затронутые версии vite содержат уязвимость DOM Clobbering при создании скриптов в выходной формат `cjs`/`iife`/`umd`. Гаджет DOM Clobbering в модуле может привести к межсайтовому скриптингу (XSS) на веб-страницах, где присутствуют нескриптовые HTML-элементы, контролируемые злоумышленником (например, тег img с неочищенным атрибутом name). DOM Clobbering - это тип атаки с повторным использованием кода, когда злоумышленник сначала встраивает в веб-страницу часть нескриптовой, казалось бы, безобидной HTML-разметки (например, через сообщение или комментарий) и использует гаджеты (части кода js), находящиеся в существующем коде javascript, чтобы преобразовать ее в исполняемый код. Мы выявили уязвимость DOM Clobbering в связанных скриптах Vite, особенно когда скрипты динамически импортируют другие скрипты из папки активов, а разработчик устанавливает формат вывода сборки `cjs`, `iife` или `umd`. В таких случаях Vite заменяет относительные пути, начинающиеся с `__VITE_ASSET__`, используя URL-адрес, полученный из `document.currentScript`. Однако эта реализация уязвима для атаки DOM Clobbering. Поиск `document.currentScript` может быть затенен злоумышленником через механизм именованного доступа к элементам дерева DOM браузера. Эта манипуляция позволяет злоумышленнику заменить предполагаемый элемент скрипта вредоносным HTML-элементом. В этом случае атрибут src элемента, контролируемого злоумышленником, используется в качестве URL-адреса для импорта скриптов, что может привести к динамической загрузке скриптов с сервера, контролируемого злоумышленником. Эта уязвимость может привести к межсайтовому скриптингу (XSS) на веб-сайтах, которые включают файлы, связанные с Vite (настроенные с выходным форматом `cjs`, `iife` или `umd`), и позволяют пользователям внедрять определенные нескриптовые HTML-теги без надлежащей очистки атрибутов name или id. Эта проблема была исправлена в версиях 5.4.6, 5.3.6, 5.2.14, 4.5.5 и 3.2.11. Всем пользователям рекомендуется обновиться. Обходных путей для этой уязвимости нет.