CVE-2020-13959
Təsvir
Apache Velocity Tools-un 3.1 versiyasından əvvəlki versiyalarında VelocityView üçün standart xəta səhifəsi URL-in tərkibində daxil edilmiş vm faylını geri qaytarır. Hücumçu URL-də bu vm faylı kimi XSS payload faylını təyin edə bilər ki, bu da həmin payload-un icrasına səbəb olur. XSS zəiflikləri hücumçulara hədəf alınan vebsaytın və istifadəçinin kontekstində ixtiyari JavaScript kodlarını icra etməyə imkan verir. Bundan sessiya kukilərini oğurlamaq, qurban adına sorğular göndərmək və ya fişinq hücumları həyata keçirmək üçün istifadə edilə bilər.
Necə düzəltmək olar
- apache velocity_tools3.1 və ya daha yeni versiya
- org.apache.velocity.tools:velocity-tools-parent3.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache velocity_tools | v < 3.1 | 3.1 |
| debian debian_linux | 9.0 | — |
| org.apache.velocity.tools:velocity-tools-parentMaven | v < 3.1 | 3.1 |
| org.apache.velocity:velocity-toolsMaven | v ≤ 2.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.