ApostropheCMS - это система управления контентом с открытым исходным кодом Node.js. Версии 4.28.0 и предшествующие содержат сохраненную уяз…

ApostropheCMS - это система управления контентом с открытым исходным кодом Node.js. Версии 4.28.0 и предшествующие содержат сохраненную уязвимость кросс-сайтов в модуле @apostrophecms/color-field, где цветовые значения префиксированы - обход валидации TinyColor, предназначенной для пользовательских свойств CSS, а вызов launder.string() выполняет только принуждение типа без удаления метахарактеров HTML. Эти несанитированные значения затем объединяются непосредственно в теги <style> как в элементах стиля per-widget, отображенных для всех посетителей, так и в глобальном таблице стиле, отображенном для редакторов, с выходом, помеченным как безопасный HTML. Редактор может вводить значение, которое закрывает тег стиля и выполняет произвольный JavaScript в браузере каждого посетителя на любую страницу, содержащую затронутый виджет. Это позволяет массовый захват сеанса, кражу cookie и эскалацию привилегий до административного контроля, если администратор просматривает проект контента. Эта проблема была исправлена в версии 4.29.0.