CVE-2023-33962 in JStachio
Tóm tắt
Bởi VulDB • 28/06/2026
JStachio là một công cụ tạo mẫu Mustache cho Java có kiểm tra kiểu (type-safe). Trước phiên bản 1.0.1, JStachio không thoát đúng dấu nháy đơn `'` trong mã HTML, cho phép kẻ tấn công chèn mã độc vào. Lỗ hổng này có thể bị khai thác để thực thi mã JavaScript tùy ý trong ngữ cảnh của những người dùng khác đang truy cập các trang sử dụng công cụ tạo mẫu này. Điều này có thể dẫn đến nhiều hậu quả khác nhau, bao gồm đánh cắp phiên làm việc (session hijacking), sửa đổi giao diện website (defacement web pages), trộm thông tin nhạy cảm hoặc thậm chí lây lan phần mềm độc hại.
Phiên bản 1.0.1 chứa bản vá cho sự cố này. Để giảm thiểu lỗ hổng này, công cụ tạo mẫu cần thoát đúng các ký tự đặc biệt, bao gồm cả dấu nháy đơn. Thông lệ phổ biến là thoát `'` thành `'`. Làm cách khắc phục tạm thời (workaround), người dùng có thể tránh vấn đề này bằng cách chỉ sử dụng dấu ngoặc kép đôi `"` cho các thuộc tính HTML.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.