Уязвимости Ember.jsEmber.js: известные уязвимости и безопасные версии

Уязвимости и безопасная версия по веткам

Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.

Даты поддержки показаны только для библиотек, которые отслеживает endoflife.date.

Записи

Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.

• CVE-2013-41702022-06-30

  In general, Ember.js escapes or strips any user-supplied content before inserting it in strings that will be sent to innerHTML.

  Затронутые версии: >= 1.0.0-rc.1, < 1.0.0-rc.1.1 · >= 1.0.0-rc.2, < 1.0.0-rc.2.1 · >= 1.0.0-rc.3, < 1.0.0-rc.3.1 · >= 1.0.0-rc.4, < 1.0.0-rc.4.1 · >= 1.0.0-rc.5, < 1.0.0-rc.5.1 · >= 1.0.0-rc.6, < 1.0.0-rc.6.1

  средняя 6.1

  Исправлено в: 1.0.0-rc.6.1, 1.0.0-rc.5.1, 1.0.0-rc.4.1, 1.0.0-rc.3.1

• CVE-2014-00142018-02-15

  Ember.js 1.0.x before 1.0.1, 1.1.x before 1.1.3, 1.2.x before 1.2.1, 1.3.x before 1.3.1, and 1.4.x before 1.4.0-beta.2 allows remote attacke

  Затронутые версии: >= 1.0.0, < 1.0.1 · >= 1.1.0, < 1.1.3 · >= 1.2.0, < 1.2.1 · >= 1.3.0, < 1.3.1 · >= 1.4.0, < 1.4.0-beta.2

  средняя 5.4

  Исправлено в: 1.0.1, 1.1.3, 1.2.1, 1.3.1

  EPSS 1,1%

• CVE-2014-00132018-02-15

  Ember.js 1.0.x before 1.0.1, 1.1.x before 1.1.3, 1.2.x before 1.2.1, 1.3.x before 1.3.1, and 1.4.x before 1.4.0-beta.2 allows remote attacke

  Затронутые версии: >= 1.0.0, < 1.0.1 · >= 1.1.0, < 1.1.3 · >= 1.2.0, < 1.2.1 · >= 1.3.0, < 1.3.1 · >= 1.4.0, < 1.4.0-beta.2

  средняя 5.4

  Исправлено в: 1.0.1, 1.1.3, 1.2.1, 1.3.1

• CVE-2015-75652017-04-13

  Cross-site scripting (XSS) vulnerability in Ember.js 1.8.x through 1.10.x, 1.11.x before 1.11.4, 1.12.x before 1.12.2, 1.13.x before 1.13.12

  Затронутые версии: >= 1.8.0, < 1.11.4 · >= 1.12.0, < 1.12.2 · >= 1.13.0, < 1.13.12 · >= 2.0.0, < 2.0.3 · >= 2.1.0, < 2.1.2 · >= 2.2.0, < 2.2.1

  средняя 6.1

  Исправлено в: 1.11.4, 1.12.2, 1.13.12, 2.0.3

• CVE-2014-00462014-02-27

  Cross-site scripting (XSS) vulnerability in the link-to helper in Ember.js 1.2.x before 1.2.2, 1.3.x before 1.3.2, and 1.4.x before 1.4.0-be

  Затронутые версии: >= 1.2.0, < 1.2.2 · >= 1.3.0, < 1.3.2 · < 1.5.0

  низкая 2.6

  Исправлено в: 1.2.2, 1.3.2, 1.5.0

  EPSS 1,5%

• без CVE

  Prototype pollution

  Затронутые версии: >= 4.9.0-alpha.1, < 4.9.0-beta.3

  высокая

  Исправлено в: 4.9.0-beta.3

• без CVE

  Prototype pollution

  Затронутые версии: >= 4.5.0, < 4.8.1

  высокая

  Исправлено в: 4.8.1

• без CVE

  Prototype pollution

  Затронутые версии: >= 4.0.0, < 4.4.4

  высокая

  Исправлено в: 4.4.4

• без CVE

  Prototype pollution

  Затронутые версии: >= 3.25.0, < 3.28.10

  высокая

  Исправлено в: 3.28.10

• без CVE

  Prototype pollution

  Затронутые версии: < 3.24.7

  высокая

  Исправлено в: 3.24.7

• без CVE

  More rigorous XSS escaping from bindAttr

  Затронутые версии: < 0.9.7.1

  низкая

  Исправлено в: 0.9.7.1

• без CVE

  Bound attributes aren't escaped properly

  Затронутые версии: < 0.9.7

  высокая

  Исправлено в: 0.9.7