Inconsistent input sanitisation leads to XSS vectors
Background
A variety of templates do not perform proper sanitization through HTML escaping.
Due to the lack of sanitization and use of jQuery.html(), there are a whole host of XSS possibilities with specially crafted input to a variety of fields.
Impact
OMERO.web before 5.11.0 and OMERO.figure before 4.4.1.
Patches
Users should upgrade OMERO.web to 5.11.0 or higher and OMERO.figure to 4.4.1 or higher.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | omero-figure | < 4.4.1 | 4.4.1 |
| Python (PyPI) | omero-web | < 5.11.0 | 5.11.0 |
Odnośniki
- https://github.com/ome/omero-web/security/advisories/GHSA-g67g-hvc3-xmvf
- https://www.openmicroscopy.org/security/advisories/2021-SV3/
- https://github.com/ome/omero-web/commit/0168067accde5e635341b3c714b1d53ae92ba424
- https://nvd.nist.gov/vuln/detail/CVE-2021-41132
- https://github.com/ome/omero-web
- https://github.com/pypa/advisory-database/tree/main/vulns/omero-figure/PYSEC-2021-379.yaml
- https://github.com/pypa/advisory-database/tree/main/vulns/omero-web/PYSEC-2021-372.yaml
- https://www.openmicroscopy.org/security/advisories/2021-SV3
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-116, CWE-79- Platforma
- Python (PyPI)
- Paczka
omero-figure, omero-web- Ujawniono
- 14.10.2021
- Aktualizacja
- 11.10.2026 13:19
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2021-372 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2021-379 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-g67g-hvc3-xmvf - CC BY 4.0
Historia podatności: omero-figure
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.