DOMPurify nesting-based mXSS 漏洞信息(CVE-2024-47875)

一、漏洞 CVE-2024-47875 基础信息

漏洞信息

                                        # 基于DOMPurify嵌套的mXSS漏洞

## 概述
DOMPurify，一个用于HTML、MathML和SVG的DOM-only、超快且超容错的XSS sanitizer，存在基于嵌套的mXSS漏洞。此漏洞在版本2.5.0和3.1.3中得到修复。

## 影响版本
- 2.5.0
- 3.1.3

## 细节
DOMPurify遭受了由于嵌套机制引起的mXSS攻击。这些攻击利用了DOMPurify在处理特定嵌套结构时的不足。

## 影响
该漏洞可能导致攻击者通过精心构造的输入，在受影响版本中执行恶意脚本。升级到修复版本可以防止此类攻击。

提示

尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！

漏洞标题

DOMPurify nesting-based mXSS

来源：美国国家漏洞数据库 NVD

漏洞描述信息

DOMPurify is a DOM-only, super-fast, uber-tolerant XSS sanitizer for HTML, MathML and SVG. DOMpurify was vulnerable to nesting-based mXSS. This vulnerability is fixed in 2.5.0 and 3.1.3.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:H

来源：美国国家漏洞数据库 NVD

漏洞类别

在Web页面生成时对输入的转义处理不恰当(跨站脚本)

来源：美国国家漏洞数据库 NVD

漏洞标题

DOMPurify 跨站脚本漏洞

来源：中国国家信息安全漏洞库 CNNVD

漏洞描述信息

DOMPurify是Cure53个人开发者的一款使用JavaScript编写的，用于HTML、MathML和SVG的DOM（文档对象模型）。 DOMPurify 2.5.0之前版本和3.1.3之前版本存在跨站脚本漏洞，该漏洞源于容易受到跨站脚本攻击。

来源：中国国家信息安全漏洞库 CNNVD

CVSS信息

N/A

来源：中国国家信息安全漏洞库 CNNVD

漏洞类别

跨站脚本

来源：中国国家信息安全漏洞库 CNNVD

二、漏洞 CVE-2024-47875 的公开POC

#	POC 描述	源链接	神龙链接
1	None	https://github.com/daikinitanda/-CVE-2024-47875-	POC详情

三、漏洞 CVE-2024-47875 的情报信息

标题： nesting-based mXSS · Advisory · cure53/DOMPurify · GitHub -- 🔗来源链接

标签： x_refsource_CONFIRM
神龙速读
标题： chore: Updated 2.x branch with relevant fixes for nesting-based mXSS · cure53/DOMPurify@0ef5e53 · GitHub -- 🔗来源链接

标签： x_refsource_MISC
标题： Merge pull request #943 from cure53/main · cure53/DOMPurify@6ea80cd · GitHub -- 🔗来源链接

标签： x_refsource_MISC
标题： DOMPurify/test/test-suite.js at 0ef5e537a514f904b6aa1d7ad9e749e365d7185f · cure53/DOMPurify · GitHub -- 🔗来源链接

标签： x_refsource_MISC
https://nvd.nist.gov/vuln/detail/CVE-2024-47875