一、 漏洞 CVE-2024-41677 基础信息
漏洞标题
由于qwik中HTML转义不适当导致的跨站脚本（XSS）漏洞
来源：AIGC 神龙大模型
漏洞描述信息
Qwik是一个专注于性能的JavaScript框架。在Qwik的1.6.0版本及之前版本中存在潜在的XSS代码注入漏洞。Qwik在服务器端渲染时不正确地对HTML进行转义。它根据"render-ssr.ts"文件中的规则对字符串进行转换。有时会导致浏览器渲染的最终DOM树与Qwik在服务器端渲染时所预期的不一致。这可能会被利用来进行XSS攻击，一种类型的XSS被称为mXSS（代码注入XSS）。此漏洞已在Qwik版本1.6.0和@builder.io/qwik版本1.7.3中解决。建议所有用户进行升级。对于此漏洞，目前没有已知的工作around方案。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
来源：AIGC 神龙大模型
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：AIGC 神龙大模型
漏洞标题
Cross-site Scripting (XSS) vulnerability due to improper HTML escaping in qwik
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Qwik is a performance focused javascript framework. A potential mutation XSS vulnerability exists in Qwik for versions up to but not including 1.6.0. Qwik improperly escapes HTML on server-side rendering. It converts strings according to the rules found in the `render-ssr.ts` file. It sometimes causes the situation that the final DOM tree rendered on browsers is different from what Qwik expects on server-side rendering. This may be leveraged to perform XSS attacks, and a type of the XSS is known as mXSS (mutation XSS). This has been resolved in qwik version 1.6.0 and @builder.io/qwik version 1.7.3. All users are advised to upgrade. There are no known workarounds for this vulnerability.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L
来源：美国国家漏洞数据库 NVD
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：美国国家漏洞数据库 NVD
漏洞标题
Qwik 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Qwik是Qwik Dev开源的一款微型Web框架。 Qwik 1.6.0版本及之前版本存在安全漏洞，该漏洞源于在服务器端渲染时不正确地转义 HTML，导致跨站脚本漏洞。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-41677 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-41677 的情报信息