不正なメンションを利用したXSSの修正

[sapphi-red]

traQ_S-UI/src/lib/markdown/markdown.ts

Lines 39 to 44 in a365a9b

	generateUserHref(id) {
	return `javascript:openUserModal('${id}')`
	},
	generateUserGroupHref(id) {
	return `javascript:openGroupModal('${id}')`
	}

ここで'がエスケープされていない

そのため、javascript:openUserModal(' '); /* 任意のコード */ (' ')が実行可能

037f083 で修正済み

PoC

!{"type":"user","raw":"@sappi_red","id":"');alert('haha');console.log('"}

これを送信してメンションをクリックすると、アラートが表示される

[sapphi-red]

このコミット起因なので、影響範囲は v3.12.0～v3.15.8
5b59bfa

[hijiki51]

https://q.trap.jp/messages/adc4abf2-c575-4cd9-bcca-93a09d1c688b
https://q.trap.jp/messages/10ecc0e3-b922-41b7-8732-6ba04c84ec49

[hijiki51]

%22のようにエンコードすることでまだXSS可能だった