CVE-2017-8899
Təsvir
Invision Power Services (IPS) Community Suite 4.1.19.2 və daha əvvəlki versiyalarda User CP bölməsində yerləşən qoşmalar funksiyasında Stored XSS və məlumat sızması problemlərinin kombinasiyası mövcuddur. Bu, hər hansı Invision Power Board istifadəçisi tərəfindən tetiklənə bilər və moderator/admin hesablarına giriş əldə etmək üçün istifadə edilə bilər. Əsas səbəb, onload kimi xüsusi hazırlanmış atributu olan SVG sənədini yükləmək imkanıdır; lakin istismar üçün tam yolun açıqlanması (full path disclosure) tələb olunur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| invisioncommunity invision_power_board | v ≤ 4.1.19.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.