UI是无依赖性的,适用于所有主流浏览器,并且是自动生成的,支持 Swagger 2.0 和 OAS 3.0。 Vidoc安全实验室的联合创始人Dawid Moczadło于5月16日发布了一份安全公告,记录了库中的DOM跨站点脚本(XSS)漏洞,研究人员称这导致了“许多易受攻击的实例”。 根源 该漏洞的根本原因是 Swagger-UI 使用了过时版本的DomPu...
Swagger-UI库中存在漏洞 可导致DOM XSS攻击 首页 / 快讯 / 正文 发布于:2022-05-23 分享到: 据外媒报告,60多个Swagger-UI库中存在web安全漏洞,这些漏洞可能会导致帐户被接管。该漏洞的根本原因是Swagger-UI使用了过时版本的DomPurify。PayPal, Atlassian, Microsoft, Yahoo 等公司都收到了相关通知。
漏洞描述: swagger-ui是一个允许 API 交互和可视化的库,Swagger-UI有一个特性它允许您向 API 规范提供URL一个yaml或json文件(例如http://swagger-server/swagger-ui.html?url=https://your_api_spec/spec.yaml、http://swagger-server/swagger-ui.html?configUrl=https://your_api_spec/file.json),它将被获...