CVE-2025-48939 in tarteaucitron.js
Riassunto
di VulDB • 20/06/2026
tarteaucitron.js è un banner per i cookie conforme e accessibile. Prima della versione 1.22.0, è stata identificata una vulnerabilità in tarteaucitron.js in cui document.currentScript veniva accesso senza verificare che facesse riferimento a un effettivo elemento `<script>`. Se un attaccante iniettava un elemento HTML, poteva sovrascrivere la proprietà document.currentScript. Ciò provoca una risoluzione errata dello script verso l'elemento invece del tag `<script>`, portando a comportamenti imprevisti o al mancato caricamento corretto del percorso dello script. Questo problema sorge perché in alcuni ambienti browser gli elementi DOM denominati diventano proprietà sull'oggetto globale document. Un attaccante con il controllo sul HTML potrebbe sfruttare questo difetto per modificare il dominio CDN di tarteaucitron. Il problema è stato risolto nella versione 1.22.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.