CVE-2015-1370
mediumPriorität · verfolgen · 18EPSS 0.020 · 81. PerzentilEUUSEPSS · bewertet 2026-10-27
Incomplete blacklist vulnerability in marked 0.3.2 and earlier for Node.js allows remote attackers to conduct cross-site scripting (XSS) attacks via a vbscript tag in a link.
cvss
Technischer Schweregrad, 0–10. Eine Zeile je Quelle.
Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · low–medium · 3.7–4.3
schwächen
Die CWE-Schwächeklassen, zu denen dies gehört.
betroffene Produkte (3)
Betroffene Produkte und Versionsbereiche.
Advisories (1)
Hersteller- und Ökosystem-Meldungen dazu.
- GHSA-cfjh-p3g4-3q2fVBScript Content Injection in marked2017-10-24ghsa · osvUS
Versions 0.3.2 and earlier of `marked` are affected by a cross-site scripting vulnerability even when `sanitize:true` is set. ## Proof of Concept ( IE10 Compatibility Mode Only ) `[xss link](vbscript:alert(1))` will get a link `<a href="vbscript:alert(1)">xss link</a>` ## Recommendation Update to version 0.3.3 or later.
auch bekannt als (3)
Weitere Namen und Kennungen dieser Entität.
quellen
Welche Quellen diesen Datensatz belegen und wann.
Referenzen (12)
Externe Belege — Patches, Meldungen, Analysen.
- http://www.openwall.com/lists/oss-security/2015/01/23/2cnnvd
- https://github.com/chjj/marked/issues/492cnnvd
- https://github.com/evilpacket/marked/commit/3c191144939107c45a7fa11ab6cb88be6694a1bacnnvd
- https://nodesecurity.io/advisories/marked_vbscript_injectioncnnvd
- http://www.openwall.com/lists/oss-security/2015/01/23/2enisa_euvd
- https://github.com/chjj/marked/issues/492enisa_euvd
- https://github.com/evilpacket/marked/commit/3c191144939107c45a7fa11ab6cb88be6694a1baenisa_euvd
- https://nodesecurity.io/advisories/marked_vbscript_injectionenisa_euvd
Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan