このウェブページスクリーンショットから、以下の脆弱性に関する重要情報を取得できます： 1. CVE番号：CVE-2024-6783 2. 脆弱性の種類：Cross-Site Scripting (XSS) 3. 影響を受けるライブラリ：vue-template-compiler 4. 影響を受けるバージョン範囲：>= 2.0.0 < 3.0.0 5. 脆弱性の重大度：Medium（中） 6. 脆弱性の概要： - Vue 2のテンプレートコンパイラ（Vueの「フルビルド」に含まれる）にXSS脆弱性が存在します。 - XSS攻撃は、攻撃者がWebアプリケーションを介して悪意のあるコード（通常はブラウザ側スクリプト）を異なるエンドユーザーに送信する際に発生します。 - 攻撃者はXSSを利用して、無害なユーザーに悪意のあるスクリプトを送信できます。 7. 脆弱性の詳細： - 脆弱性は、Vueのバージョンが2.0.0以上で3.0.0未満のバージョンに存在します。 - 脆弱性は、Vueの内蔵ブラウザテンプレートコンパイラに存在します。このコンパイラは、文字列コードを実行可能なコードに変換し、コンポーネントテンプレートをレンダリング関数に解析する役割を負っています。 - これらのレンダリング関数は、Vueの実行時に文字列化された 文の中で実行され、サードパーティのスクリプトによる任意のコード実行を可能にします。 8. 脆弱性の悪利用： - 特定の属性のみが、 を拡張したときにクライアントサイドのXSS脆弱性に影響されます。 - このような属性の1つに があり、テンプレート文字列で非動的なクラスを持つ 属性が使用された際に取得されます。 - 最適化の措施はテンプレート文字列全体に依存するため、このコードパスがトリガーされる場合とされない場合があります。 9. 再現手順： - AST Codegenパスを使用するVueの内蔵ブラウザテンプレートコンパイラは、初期状態で設定されていない属性に依存しています。 - これらの属性が明示的に に設定されるか、 でチェックされる場合、プロトタイプ汚染は発生しません。 - 現在、ASTElement（SSR、内蔵ブラウザコンパイル、Vue SFCファイル解析のためにコード生成ノードを作成するための主要なデータ構造）のほぼすべての属性はオプションであり、このXSS脆弱性に影響を受ける可能性があります。 10. 緩和策： - Vue 2はライフサイクルエンド（EOL）を迎えています。影響を受けるコンポーネントのユーザーは、以下の緩和策を採用してください： - Vueの新しいバージョンに移行する。 - 独自のパッチを適用する。 - HeroDevsなどの商業サポートパートナーを活用し、EOL後のセキュリティサポートを受ける。 11. 連絡先情報： - HeroDevsの連絡先： - 電話：+1 877-586-1965 - メール：hello@herodevs.com - 住所：8850 S 700 E #2437 Sandy, UT 84070 これらの情報は、CVE-2024-6783脆弱性に関する詳細な記述を提供しており、その影響範囲、悪利用方法、および緩和策が含まれています。