Descripción
Waline es un sistema de comentarios con soporte de backend. En las versiones 3.15.2 y anteriores, @waline/client genera la vista previa en vivo del editor de comentarios con marked y sin sanitizador (utils/markdown.ts), y la vista previa se inserta con v-html. Cuando se edita un comentario, el editor se carga con el cuerpo original del comentario sin sanitizar (orig). Solo los administradores y el autor del comentario pueden editar. Así, un administrador que hace clic en Editar en el comentario de un atacante genera el HTML sin procesar de ese atacante en su propia sesión: un comentarista no autenticado logra un cross-site scripting (XSS) almacenado con escalamiento de privilegios contra un moderador con un solo clic en Editar. Al momento de la publicación, no hay parches disponibles públicamente.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- waline Afectadas: <= 3.15.2
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/walinejs/waline/security/advisories/GHSA-crj3-q72p-ggqm
Ver el texto original en inglés (CVE.org)
Stored XSS in @waline/client via the unsanitized markdown preview of a comment's raw body on edit
Waline is a comment system with backend support. In versions 3.15.2 and prior, @waline/client renders the comment editor's live preview with marked and no sanitizer (utils/markdown.ts), and the preview is injected with v-html. When a comment is edited, the editor is seeded with the comment's raw, un-sanitized body (orig). Only administrators and the comment owner can edit. So an administrator who clicks Edit on an attacker's comment renders that attacker's raw HTML in their own session: an unauthenticated commenter achieves privilege-escalation stored XSS against a moderator with a single Edit click. At time of publication, there are no publicly available patches.