CVE-2021-23346 html-parse-stringify_project html-parse-stringify 其他

CVE编号

CVE-2021-23346

利用情况

暂无

补丁情况

N/A

披露时间

2021-03-04

漏洞描述

Henrik Joreteg html-parse-stringify是 （Henrik Joreteg）开源的一个应用软件。提供了一种可以快速将HTML解析为AST并将其字符串化为原始字符串的方法。 html-parse-stringify before 2.0.1 存在安全漏洞，该漏洞源于发送某些输入可能会导致用于解析的某个正则表达式回溯、冻结进程。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/HenrikJoreteg/html-parse-stringify/commit/c7274a48e59c92b2b7e906fedf9065159e73fe12

参考链接
https://github.com/HenrikJoreteg/html-parse-stringify/blob/master/lib/parse.js%23L2
https://github.com/HenrikJoreteg/html-parse-stringify/commit/c7274a48e59c92b2...
https://github.com/rayd/html-parse-stringify2/blob/master/lib/parse.js%23L2
https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-1080633
https://snyk.io/vuln/SNYK-JS-HTMLPARSESTRINGIFY-1079306
https://snyk.io/vuln/SNYK-JS-HTMLPARSESTRINGIFY2-1079307

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	html-parse-stringify_project	html-parse-stringify	*		Up to (excluding) 2.0.1

CVSS3评分 5.3

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 低
• 保密性 无
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L CWE-ID 漏洞类型 NVD-CWE-Other