mdBook 安全公告 | Rust 博客

这是对官方安全公告的交叉发布。官方帖子还包含使用我们的 PGP 密钥签名的版本。

Rust 安全响应工作组最近收到通知，mdBook 的搜索功能存在安全问题，可能允许攻击者在页面上执行任意 JavaScript 代码。

此漏洞的 CVE 为 CVE-2020-26297。

概述

mdBook 的搜索功能（在 0.1.4 版本中引入）受到跨站点脚本漏洞的影响，该漏洞允许攻击者通过诱使用户输入恶意搜索查询或诱使用户点击带有恶意搜索查询预填充的搜索页面链接，在用户的浏览器上执行任意 JavaScript 代码。

mdBook 0.4.5 通过正确转义搜索查询来修复漏洞。

使用 mdBook 构建网站的所有者必须升级到 mdBook 0.4.5 或更高版本，并使用它重建其网站内容。可以使用以下命令在本地系统上安装 mdBook 0.4.5：

cargo install mdbook --version 0.4.5 --force

感谢 Kamil Vavra 按照我们的安全策略负责任地向我们披露了漏洞。

所有时间均以 UTC 表示。