Cross-site Scripting (XSS) in @scullyio/scully · CVE-2020-28470

漏洞详情

受影响包

• npm包: @scullyio/ng-lib

  • 受影响版本: < 1.0.1
  • 已修复版本: 1.0.1

• npm包: @scullyio/scully

  • 受影响版本: < 1.0.9
  • 已修复版本: 1.0.9

漏洞描述

该漏洞影响@scullyio/scully 1.0.9之前的版本。传输状态使用JSON.stringify()函数进行序列化，然后写入HTML页面，存在安全风险。

严重程度

• 严重等级: 高危
• CVSS总体评分: 7.3/10

CVSS v3基础指标

• 攻击向量: 网络
• 攻击复杂度: 低
• 所需权限: 无
• 用户交互: 无
• 作用范围: 未改变
• 机密性影响: 低
• 完整性影响: 低
• 可用性影响: 低

弱点分类

• 弱点类型: CWE-79
• 描述: 在网页生成过程中输入验证不当（跨站脚本）
• 详细说明: 产品在将用户可控的输入放置到提供给其他用户的网页输出之前，未能正确验证或清理这些输入。

参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2020-28470
• scullyio/scully#1182
• https://snyk.io/vuln/SNYK-JS-SCULLYIOSCULLY-1055829

时间线

• 国家漏洞数据库发布: 2021年1月14日
• GitHub审核: 2021年4月6日
• GitHub咨询数据库发布: 2021年4月13日
• 最后更新: 2025年10月20日

其他信息

• EPSS评分: 0.3%（第53百分位）
• GHSA ID: GHSA-r96p-v3cr-gfv8
• 源代码: scullyio/scully

该漏洞已被编辑，可查看历史记录。如果您有任何改进建议，欢迎为此漏洞提供改进意见。