CVE-2018-1000086 in Visuals Team Pym.js

摘要

由 VulDB • 2026-06-10

NPR Visuals Team Pym.js 版本 0.4.2 至 1.3.1 在 Pym.js 的 _onNavigateToMessage 函数中存在跨站请求伪造（CSRF）漏洞。该漏洞位于 https://github.com/nprapps/pym.js/blob/master/src/pym.js#L573，可能导致任意 JavaScript 代码执行。此攻击似乎可通过以下方式利用：当用户访问攻击者构造的页面时，攻击者可获得对嵌入 Pym.js 的页面的完整 JavaScript 访问权限。该漏洞已在版本 1.3.2 及更高版本中修复。

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

• 预定: 2018-02-21
• 披露: 2018-03-13
• 管理: 已接受
• 条目: VDB-114441
• CPE: 准备好
• CWE: CWE-352 (已确认)
• CVSS: 8.8 (NVD)
• EPSS: 0.01024
• KEV: 否
• 活动: 非常低
• 部门: Hostingprovider, Finance, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2018-1000086
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2018-1000086
• CVE Details: https://www.cvedetails.com/cve/CVE-2018-1000086/