Nós descobrimos uma pequena vulnerabilidade que pode afetar alguns aplicativos usando ReactDOMServer. Nós estamos lançando uma versão de correção para cada release minor afetado do React para que você possa atualizar sem conflito. Leia para mais detalhes.
\nHoje, nós estamos lançando uma correção para uma vulnerablidade que encontramos na implementação do react-dom/server. Foi introduzido com a versão 16.0.0 e existiu em todas as versões subsequentes até hoje.
Essa vulnerabilidade só pode afetar alguns aplicativos React renderizados no lado do servidor. Puramente, aplicativos renderizados no lado cliente não são afetados. Adicionalmente, nós esperamos que a maioria dos aplicativos renderizados no lado servidor não contêm o padrão vulnerável descrito abaixo. No entanto, recomendamos seguir as instruções de mitigação assim que possível.
\nEnquanto estávamos investigando essa vulnerabilidade, nós encontramos vulnerabilidades semelhantes em algumas outras populares bibliotecas de front-end. Nós coordenamos esta release junto com Vue e Preact releases, arrumando o mesmo problema. O número de rastreamento para esta vulnerabilidade é CVE-2018-6341.
Preparamos uma pacote de correção, com uma correção para cada versão secundária afetada.
\nSe você estiver utilizando react-dom/server com esta versão:
react-dom@16.0.0Atualize para a versão:
\nreact-dom@16.0.1 (contém a mitigação)Se você estiver usando react-dom/server com uma destas versões:
react-dom@16.1.0react-dom@16.1.1Atualize para a versão:
\nreact-dom@16.1.2 (contém a mitigação)Se você estiver usando react-dom/server com esta versão:
react-dom@16.2.0Atualize para a versão:
\nreact-dom@16.2.1 (contém a mitigação)Se você estiver utilizando react-dom/server em uma destas versões:
react-dom@16.3.0react-dom@16.3.1react-dom@16.3.2Atualize para a versão:
\nreact-dom@16.3.3 (contém a mitigação)Se você estiver utilizando react-dom/server com uma destas versões:
react-dom@16.4.0react-dom@16.4.1Atualize para a versão:
\nreact-dom@16.4.2 (contém a mitigação)Se você estiver usando a versão mais recente do react-dom, nenhuma ação é necessária.
Repare que apenas o pacote react-dom precisa ser atualizado.
O seu aplicativo apenas pode ser afetado por essa vulnerabilidade, se essas duas condições forem verdadeiras:
\nEspecificamente, o padrão vulnerável se parece com isso:
\nlet props = {};\nprops[userProvidedData] = \"hello\";let element = <div {...props} />;\nlet html = ReactDOMServer.renderToString(element);Para explorá-lo, o invasor precisaria criar um nome de atributo especial que acionasse uma vulnerabilidade XSS. Por exemplo:
\nlet userProvidedData = '></div><script>alert(\"hi\")</script>';Nas versões vulneráveis de react-dom/server, a saída deixaria o atacante injetar marcação arbitrária:
<div ></div><script>alert(\"hi\")</script>Nas versões após, a vulnerabilidade foi ajustada (e antes de ser introduzido), atributos com nomes inválidos são ignorados:
\n<div></div>Você também veria um aviso sobre um nome de atributo inválido.
\nObserve que esperamos que os nomes de atributos baseados na entrada do usuário sejam muito raros na prática. Ele não serve a nenhum caso de uso prático comum e tem outras possíveis implicações de segurança que o React não pode proteger contra.
\nO React v16.4.2 está disponível no registro npm.
\nPara instalar o React 16 com Yarn, rode:
\nyarn add react@^16.4.2 react-dom@^16.4.2Para instalar o React 16 com npm, rode:
\nnpm install --save react@^16.4.2 react-dom@^16.4.2Nós também disponibilizamos UMD builds do React via CDN:
\n<script crossorigin src=\"https://unpkg.com/react@16/umd/react.production.min.js\"></script>\n<script crossorigin src=\"https://unpkg.com/react-dom@16/umd/react-dom.production.min.js\"></script>Consulte a documentação para instruções detalhadas de instalação.
\nCVE-2018-6341). Esta correção está disponível no mais recente react-dom@16.4.2, bem como nas versões secundárias afetadas anteriores: react-dom@16.0.1, react-dom@16.1.2, react-dom@16.2.1, e react-dom@16.3.3. (@gaearon em #13302)hasOwnProperty. Essa correção só está disponível em react-dom@16.4.2. (@gaearon em #13303)