حجب الخدمة واستجابة الفشل المفتوحة عبر إزالة تنسيقات CSS لـ image-set في svg-sanitizer من الإصدار 1.0.0 حتى ما قبل 1.1.0

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي منتج darylldoyle svg-sanitizer من الإصدار 1.0.0 حتى ما قبل 1.1.0 على ثغرة حجب الخدمة بالتعبير المنتظم في نمط image-set التابع لـ stripRemoteCssTokens() عند تفعيل إزالة المراجع البعيدة removeRemoteReferences. يمكن للمهاجمين إرسال ملفات SVG تحتوي على العديد من رموز image-set غير المغلقة لاستنزاف وحدة المعالجة المركزية، أو تجاوز حدود PCRE مما يتسبب في طرح الدالة sanitize() لخطأ من نوع TypeError وترك محتوى غير مُنقّى.

المعالجة

1. أحصِ جميع نشرات darylldoyle svg-sanitizer، بما فيها بيئات الاختبار.
2. رقِّ darylldoyle svg-sanitizer إلى الإصدار 1.1.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/darylldoyle/svg-sanitizer/security/advisories/GHSA-94x8-pw3c-6qcq
• تحذيرhttps://www.vulncheck.com/advisories/svg-sanitizer-1.0.0-before-1.1.0-redos-and-fail-open-via-image-set-css-stripping