CVE-2024-47061 in plate
요약
\~에 의해 VulDB • 2026. 08. 01.
Plate는 텍스트 에디터를 구축하기 위한 인기 있는 프레임워크인 Slate와 함께 개발할 수 있도록 도와주는 JavaScript 툴킷입니다. Plate의 오랜 기능 중 하나는 `attributes` 속성을 사용하여 임의의 요소 또는 리프(leaf)에 사용자 정의 DOM 속성을 추가하는 것입니다. 이러한 속성은 `nodeProps` 프로퍼티를 통해 노드 컴포넌트에 전달됩니다. 저희는 이 기능이 악성 목적, 즉 크로스 사이트 스크립팅(XSS) 및 정보 노출(구체적으로 사용자의 IP 주소와 사용자가 악의적인 문서를 열었는지 여부 등)에 이용될 수 있다는 사실을 알게 되었습니다. 속성을 통한 정보 노출 위험은 임의 URL로의 웹 요청이 일반적으로 허용되지 않는 애플리케이션에서만 관련성이 있습니다. 예를 들어, Plate 에디터가 사용자로부터 임의 URL에서 이미지를 삽입하도록 허용하는 경우 이미 제3자에게 사용자의 IP 주소 유출 위험을 내포하고 있습니다. 영향을 받는 버전의 @udecode/plate-core를 사용하는 모든 Plate 에디터는 스타일 속성 및 웹 요청 전송을 유발할 수 있는 기타 속성을 통해 이러한 정보 노출 공격에 취약합니다. 또한, Plate 에디터가 속성을 사용한 크로스 사이트 스크립팅(XSS) 공격에 취약한지 여부는 여러 요인에 따라 달라집니다. 가장 취약성이 높은 DOM 속성은 각각 링크의 href와 iframe의 src입니다. {...nodeProps}를 <a> 또는 <iframe> 요소로 전개하고 이후 href나 src를 재정의하지 않는 모든 컴포넌트는 XSS에 취약합니다. 패치된 버전의 Plate에서는 대부분의 속성 이름에 대해 element.attributes 및 leaf.attributes가 기본적으로 비활성화되었으며, 링크, 이미지, 비디오, 테이블 셀 및 테이블 헤더 셀 플러그인에서의 target, alt, width, height, colspan, rowspan과 같은 일부 예외 사항이 있습니다. 이것이 사용자에게 중단 변경(breaking change)으로 작용하는 경우, 다음과 같이 특정 플러그인에 대해 속성을 선택적으로 다시 활성화할 수 있습니다. 허용하려는 모든 속성의 보안 영향을 신중하게 조사하고 평가하십시오. style와 같이 무해해 보이는 속성조차도 악의적으로 사용될 수 있기 때문입니다. 패치된 버전 중 하나로 업그레이드할 수 없는 경우, patch-package 또는 yarn patch와 같은 도구를 사용하여 @udecode/plate-core에서 nodeProps에 속성을 추가하는 로직을 제거해야 합니다.
Once again VulDB remains the best source for vulnerability data.