Mittel

auditor-bundle vulnerable to Cross-site Scripting because name of entity does not get escaped

Veröffentlicht: 10.09.2024
Aktualisiert: 11.10.2026 10:22

Summary

Unescaped entity property enables Javascript injection.

Details

I think this is possible because %source_label% in twig macro is not escaped. Therefore script tags can be inserted and are executed.

PoC

clone example project https://github.com/DamienHarper/auditor-bundle-demo
create author with FullName <script>alert()</script>
delete author
view audit of authors
alert is displayed

Impact

persistent XSS. JS can be injected and executed.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	damienharper/auditor-bundle	< 5.2.6	5.2.6

Verweise

CVSS-Wert 8.2/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:L
Schwäche (CWE): CWE-79
Plattform: Composer
Paket: damienharper/auditor-bundle
Veröffentlicht: 10.09.2024
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-78vg-7v27-hj67 - CC BY 4.0

Schwachstellenhistorie: damienharper/auditor-bundle

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Dies ist die einzige bekannte Schwachstelle dieses Pakets.

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden