> ## Documentation Index
> Fetch the complete documentation index at: https://docs-dev-docs-ai-docs-migration-poc.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

# CVE-2021-32641:Auth0 Lockライブラリーのセキュリティ更新

> CVE-2021-32641:Auth0 Lockライブラリーのセキュリティ更新

**公開日** ：2021年6月4日

**CVE番号** ：CVE-2021-32641

## 概要

`11.30.0`以前のバージョンは、反射型XSSに対して脆弱です。以下のいずれかの場合、攻撃者は任意のコードを実行できます。

* ライブラリーの`flashMessage`機能が使用され、かつユーザー入力またはURLパラメーターからのデータが`flashMessage`に組み込まれた場合。

または

* ライブラリーの`languageDictionary`機能が使用され、かつユーザー入力またはURLパラメーターからのデータが`languageDictionary`に組み込まれた場合。

## 自分は影響を受けますか？

この脆弱性は、実装が以下の説明のいずれかに当てはまる場合、影響があります。

### flashMessageの脆弱性

以下の条件がすべて満たされる場合は、脆弱です。

* `auth0-lock`バージョン`11.30.0`以前のものを使用している。
* `flashMessage`機能を使用している。
* ユーザー入力またはURLパラメーターからのデータが`flashMessage`に組み込まれている。

以下は、`flashMessage`の`text`プロパティに入力するためにクエリパラメーターが使用されている脆弱なスニペットの例です。

```javascript lines theme={null}
var params = new URLSearchParams(location.search);

var errorMessage = params.get('error__message');
var showParams = {};

if (!!errorMessage === true) {
  showParams.flashMessage = {
    type: 'error',
    text: 'We were unable to log you in. ' + errorMessage,
  };
}

lock.show(showParams);
```

### languageDictionaryの脆弱性

以下の条件がすべて満たされる場合は、脆弱です。

* `auth0-lock`バージョン`11.30.0`以前のものを使用している。
* `languageDictionary`機能を使用している。
* ユーザー入力またはURLパラメーターからのデータが、`languageDictionary`プロパティに使用されている。

以下は、`languageDictionary`の`socialLoginInstructions`プロパティに入力するためにクエリパラメーターを使用している脆弱なスニペットの例です。

```javascript lines theme={null}
var params = new URLSearchParams(location.search);
var instruction = params.get('instruction');

var options = {
  languageDictionary: {
    emailInputPlaceholder: "something@youremail.com",
    title: "title",
    socialLoginInstructions: instruction
  },
};

var lock = new Auth0LockPasswordless(
    CLIENT_ID,
    DOMAIN,
    options
);

lock.show();
```

## 修正方法

`auth0-lock`バージョン`11.30.1`にアップグレードしてください。

## この更新はユーザーに影響を与えますか？

この修正は、`flashMessage`および`languageDictionary`入力をサニタイズするために、[DOMPurify](https://github.com/cure53/DOMPurify)を使用します。`script`タグまたは`onclick`属性など、これらのフィールドのJavaScript.を削除します。