BIT-golang-2023-29400

vendorUSosv

Improper handling of empty HTML attributes in html/template

Advisory ansehen veröffentlicht 2024-03-06Lizenz: per source

Templates containing actions in unquoted HTML attributes (e.g. "attr={{.}}") executed with empty input can result in output with unexpected results when parsed due to HTML normalization rules. This may allow injection of arbitrary attributes into tags.

beschreibt (1)

Zugehörige CVEs.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2023-29400US	high7.3	1.04% (64th)	—	2023-05-11
Templates containing actions in unquoted HTML attributes (e.g. "attr={{.}}") executed with empty input can result in output with unexpected results when parsed due to HTML normaliz…

Referenzen

Externe Belege — Patches, Meldungen, Analysen.

https://go.dev/cl/491617FIX
https://go.dev/issue/59722FIX
https://groups.google.com/g/golang-announce/c/MEb0UyuSMsUDISCUSSION
https://nvd.nist.gov/vuln/detail/CVE-2023-29400WEB
https://pkg.go.dev/vuln/GO-2023-1753ADVISORY
https://security.netapp.com/advisory/ntap-20241213-0005/WEB

scry

Advisories wie diese benennen die exponierten Produkte, die Angreifer auf Ihrer Angriffsfläche ins Visier nehmen. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan