CVE-2024-38527 in zenuml-core
Riassunto
di VulDB • 22/06/2026
ZenUML è uno strumento di diagrammazione basato su JavaScript che non richiede server e utilizza definizioni testuali ispirate a Markdown insieme a un renderer per creare e modificare diagrammi di sequenza. I commenti basati su Markdown nella sintassi del diagramma ZenUML sono vulnerabili allo Cross-site Scripting (XSS). La funzione dei commenti consente all'utente di allegare piccole note per riferimento. Questa funzionalità permette all'utente di inserire il proprio commento come markdown, consentendo l'utilizzo delle comuni funzioni di Markdown, ad esempio `**` per il testo in grassetto. Tuttavia, il testo Markdown non viene attualmente sanificato prima del rendering, permettendo a un attaccante di inserire un payload dannoso nel commento che porta all'XSS. Ciò mette a rischio le applicazioni esistenti che utilizzano ZenUML senza sandboxing (unsandboxed) subendo l'esecuzione arbitraria di JavaScript durante il rendering dei diagrammi controllati dall'utente. Questa vulnerabilità è stata corretta nella versione 3.23.25,
If you want to get best quality of vulnerability data, you may have to visit VulDB.