URLパラメーターによるXSSインジェクション
日付
2015年5月5日
説明
PlayのURLレンダリングにXSSの脆弱性が発見されました。
影響
PlayのURLレンダリングを使用するすべてのアプリケーション。
影響を受けるバージョン
- Play 1.2.0 - 1.2.7
- Play 1.3.0
回避策
パラメーターを使用する前にエンコードします。
@{Controller.action(parameterWithInjection?.urlEncode())}
修正
以下の適切なバージョンにアップグレードします。
CVSS評価 (詳細)
- 基本評価: 5.8
AV:N/AC:M/Au:N/C:P/I:P/A:N - 時間的評価: 4.5
E:POC/RL:OF/RC:C - 環境的評価: 4.2
CDP:ND/TD:M/CR:H/IR:H/AR:ND
環境的評価は一般的なインターネットシステムを想定しています。組織における実際の環境的評価は異なる場合があります。
謝辞
この脆弱性を発見した功績はElevenPathsのRicardo Martin氏に贈られます。