p PatchFirst

CVE-2026-49977

CVE-2026-49977 · tarteaucitron.js: data-cookie attribute can be used to delete arbitrary cookies

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

tarteaucitron.js is a compliant and accessible cookie banner. Prior to 1.33.0, tarteaucitron.cookie.purge() is called on any element with the purgeBtn class and does not check whether the element is a legitimate tarteaucitron button or whether the cookie corresponds to a service handled by tarteaucitron. If an attacker can write HTML with data attributes, an element with data-cookie can silently delete a non-HttpOnly cookie with a known name when clicked by a user. This issue is fixed in version 1.33.0.

CVSS 4.3 · Средний · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • tarteaucitron.js

    Версии
    • < 1.33.0: Затронуто

    Нет опубликованного исправления

  • tarteaucitronjs npm

    Затронутые диапазоны версий
    • SEMVER: < 1.33.0

    Обновитесь до 1.33.0

Первоисточники

Проверьте свой сервер →