CVE:CVE-2018-1000086
CNNVD:CNNVD-201803-401
NPR Visuals Team Pym.js是一个用于在容器中嵌入代码的工具。
NPR Visuals Team Pym.js 0.4.2版本至1.3.1版本中的‘Pym.js _onNavigateToMessage’函数的https://github.com/nprapps/pym.js/blob/master/src/pym.js#L573存在跨站请求伪造漏洞。远程攻击者可利用该漏洞执行任意的JavaScript代码。
solution:Upgrade npr pym.js to a higher version than 1.3.1,and avoid the version [0.4.2,1.3.1]