CVE-2020-15139
Təsvir
MyBB versiya 1.8.24-dən əvvəlki versiyalarda, vizual redaktor üçün xüsusi MyCode (BBCode), HTML render edərkən giriş məlumatlarını düzgün şəkildə təmizləmir və bu da DOM-əsaslı XSS zəifliyinə səbəb olur. Bu boşluqdan istifadə etmək üçün qurban vizual redaktorun aktiv olduğu (məsələn, yazı və ya Şəxsi Mesaj kimi) və zərərli şəkildə hazırlanmış MyCode mesajı ilə işləyən səhifəyə yönləndirilə bilər. Bu, mesaj məzmununun GET/POST parametri vasitəsilə öncədən doldurulduğu səhifələrdə və ya əvvəllər yadda saxlanılmış zərərli mesajın sitat gətirildiyi cavab səhifələrində baş verə bilər. MyBB versiyasını 1.8.24-ə yenilədikdən sonra, standart olmayan mövzular üçün `codebuttons` şablonundakı versiya atributunu yenilədiyinizdən əmin olun ki, yamalanmış `jscripts/bbcodes_sceditor.js` faylının son versiyası təqdim edilsin.
Necə düzəltmək olar
- mybb mybb1.8.24 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mybb mybb | v < 1.8.24 | 1.8.24 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.