CVE-2019-17495
Təsvir
Swagger UI-ın 3.23.11 versiyasından əvvəlki versiyalarda mövcud olan Cascading Style Sheets (CSS) inyeksiyası zəifliyi, hücumçulara Nisbi Yolun Yazılmasının üstünə yazılması (Relative Path Overwrite - RPO) texnikasından istifadə edərək, giriş sahəsinin dəyərlərinin (məsələn, CSRF token dəyərinin) CSS əsaslı sızdırılmasını həyata keçirməyə imkan verir. Başqa sözlə, bu məhsul uzaq serverlərdən etibarsız JSON məlumatlarının yerləşdirilməsinə qəsdən icazə verir, lakin JSON məlumatları daxilindəki <style>@import-un funksional hücum metodu olduğu əvvəllər məlum deyildi.
Necə düzəltmək olar
- smartbear swagger_ui3.23.11 və ya daha yeni versiya
- swagger-ui3.23.11 və ya daha yeni versiya
- org.webjars:swagger-ui3.23.11 və ya daha yeni versiya
- org.webjars.npm:swagger-ui3.23.11 və ya daha yeni versiya
- io.springfox:springfox-swagger-ui2.10.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| smartbear swagger_ui | v < 3.23.11 | 3.23.11 |
| oracle banking_apis | 18.1 ≤ v ≤ 18.3, 19.1, 19.2, 20.1, 21.1 | — |
| oracle banking_digital_experience | 18.1 ≤ v ≤ 18.3, 19.1, 19.2, 20.1, 21.1 | — |
| oracle banking_platform | 2.4.0 ≤ v ≤ 2.10.0 | — |
| oracle primavera_gateway | 16.2.0 ≤ v ≤ 16.2.11, 17.12.0 ≤ v ≤ 17.12.8 | — |
| oracle utilities_framework | 4.3.0.6.0, 4.4.0.0.0, 4.4.0.2.0 | — |
| swagger-uinpm | v < 3.23.11 | 3.23.11 |
| org.webjars:swagger-uiMaven | v < 3.23.11 | 3.23.11 |
| org.webjars.npm:swagger-uiMaven | v < 3.23.11 | 3.23.11 |
| io.springfox:springfox-swagger-uiMaven | v < 2.10.0 | 2.10.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.