beplay体育能用吗被认为是受XS保护的网站可能是无意间暴露于Chrome Sessions中的XSS攻击
Chromium Developers修补了一个可能导致XSS漏洞的“疯狂”解析器。
该脆弱性在2021年7月向铬开发商据报道，由MichałBentkowski穿透测试仪用于波兰网络安全公司证券。
在一条推文Bentkowski说，这个错误是“我发现的最疯狂的解析器错误”。
跟踪为CVE-2022-0801，中度脆弱性被描述为HTML解析器中的不当实现。
tree
安全研究人员在铬源代码的树木建筑商中发现了安全缺陷。根据铬错误跟踪器线程讨论Bentkowski的发现，有两个树木建造者：html_tree_builder.cc和html_tree_builder_simulator.cc。
HTML最初被解析html_tree_builder然后将结果解析html_tree_builder_simulator。结果，如果有任何差异，这可能会触发跨站脚本（XSS）脆弱性。
你可能还喜欢Microbeplay体育能用吗Weber开发人员解决CMS软件中的XSS漏洞
“html_tree_builder_simulator似乎很短而且很简单，”本恩科夫斯基说。“不幸的是，它过分简化了HTML解析，而Mishandles Tokenizer状态切换，导致看似“不可能的” Dom Trees。”
在第二个DOM树中解析内容时，将图像标签包含在原始分析之外，导致XSS。
很难分类
漏洞最初被描述为突变XS，XSS的形式是由浏览器如何解释代码的差异引起的。
但是，一旦铬开发人员推断出该错误可以被视为通用XSS（通过脆弱的客户端浏览器所利用的缺陷 - 研究人员说，他认为这两个分类都不是“正确描述了这一点脆弱性”。
Bentkowski评论说：“我要说的是，问题的核心是：BackgroundHtmlParser可能会错误地解析HTML，从而导致XSS在针对XSS的正确预防的页面上。”
Chrome脆弱性奖励计划（VPR）授予Bentkowski 5,000美元的报告。
补丁已发行通过默认情况下启用porcessynchronoushtmlparsing功能，可以解决Chrome 99.0.4844.51中的安全漏洞。微软也有实施了修复用于基于铬的Microsoft Edge浏览器。
Chrome 99.0.4844.51更新包括28个安全修复程序，特别是CVE-2022-0789，一个严重的堆缓冲区溢出虫的角度；无法正确实施安装程序中的策略，CVE-2022-0799， 和CVE-2022-0798，在MediaStream中的无用漏洞。
Bentkowski打算在将来提供有关漏洞的完整文章。
每日swbeplay2018官网ig已经与Bentkowski联系了其他查询，当我们回来时，我们将更新。
