Średnia

Scancode.io Reflected Cross-Site Scripting (XSS) in license endpoint

Ujawniono: 15.08.2023
Aktualizacja: 11.10.2026 15:17

Summary

In the /license/ endpoint, the detailed view key is not properly validated and sanitized, which can result in a potential cross-site scripting (XSS) vulnerability when attempting to access a detailed license view that does not exist.

Details

In the /license/ endpoint, the license_details_view function is vulnerable to a potential cross-site scripting (XSS) attack due to inadequate validation and sanitization of the key parameter. This vulnerability arises when attempting to access a key with malicious javascript.

python

def license_details_view(request, key):
    """
    Display all available information about a given license `key` followed by
    the full license text.
    """
    licenses = get_licenses()
    try:
        data = saneyaml.dump(licenses[key].to_dict())
        text = licenses[key].text
    except KeyError:
        return HttpResponseNotFound(f"License {key} not found.") # Leads to cross-site scripting when key is malicious javascript
    return HttpResponse(f"<pre>{data}</pre><hr><pre>{text}</pre>")

PoC

Access following endpoint on scancode.io instance: http://localhost/license/%3Cscript%3Ealert(document.cookie);%3C/script%3E/

Impact

Attackers can exploit the vulnerability to inject malicious scripts into the response generated by the license_details_view function. When unsuspecting users visit the page, their browsers will execute the injected scripts, leading to unauthorized actions, session hijacking, or stealing sensitive information.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	scancodeio	< 32.5.2	32.5.2

Odnośniki

Ocena CVSS 6.1/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE): CWE-79
Platforma: Python (PyPI)
Paczka: scancodeio
Ujawniono: 15.08.2023
Aktualizacja: 11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-1905 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-6xcx-gx7r-rccj - CC BY 4.0

Historia podatności: scancodeio

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 08.2023 08.2023
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Średnia 2

Ujawnienia w latach

2023: 2
2024: 0
2025: 0
2026: 0

15.08.2023

Scancode.io Reflected Cross-Site Scripting (XSS) in license endpoint ten wpis

Średnia · 6.1 CVE-2023-40024 < 32.5.2 32.5.2
09.08.2023

ScanCode.io command injection in docker image fetch process

Średnia · 6.8 CVE-2023-39523 < 32.5.1 32.5.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację