User content sandbox can be confused into opening arbitrary documents
Impact
The user content sandbox can be abused to trick users into opening unexpected documents after several user interactions. The content can be opened with a blob origin from the Matrix client, so it is possible for a malicious document to access user messages and secrets.
Patches
This has been fixed by https://github.com/matrix-org/matrix-react-sdk/pull/5657, which is included in 3.15.0.
Workarounds
There are no known workarounds.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | matrix-react-sdk | < 3.15.0 | 3.15.0 |
Odnośniki
- https://github.com/matrix-org/matrix-react-sdk/security/advisories/GHSA-52mq-6jcv-j79x
- https://nvd.nist.gov/vuln/detail/CVE-2021-21320
- https://github.com/matrix-org/matrix-react-sdk/pull/5657
- https://github.com/matrix-org/matrix-react-sdk/commit/b386f0c73b95ecbb6ea7f8f79c6ff5171a8dedd1
- https://www.npmjs.com/package/matrix-react-sdk
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:L/A:N- Słabość (CWE)
CWE-345- Platforma
- npm
- Paczka
matrix-react-sdk- Ujawniono
- 03.03.2021
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-52mq-6jcv-j79x - CC BY 4.0
Historia podatności: matrix-react-sdk
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 8
- Pierwsza → ostatnia
- 03.2021 10.2024
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 4
- Średnia 3
- Niska 1
Ujawnienia w latach
- 2021: 2
- 2022: 0
- 2023: 4
- 2024: 2
- 2025: 0
- 2026: 0
-
User content sandbox can be confused into opening arbitrary documents ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.