CVE-2020-37044
Təsvir
OpenCTI 3.3.1 versiyası /graphql son nöqtəsi vasitəsilə əks olunmuş saytlararası skriptinq (XSS) hücumuna qarşı həssasdır. Hücumçu sorğu sətirində zərərli yük olan xüsusi hazırlanmış GET sorğusu göndərməklə ixtiyari JavaScript kodu yerləşdirə bilər ki, bu da qurbanın brauzerində JavaScript-in icrasına səbəb olur. Məsələn, /graphql?'"--></style></scRipt><scRipt>alert('Raif_Berkay')</scRipt> ünvanına göndərilən sorğu xəbərdarlıq pəncərəsinin açılmasını tətikləyəcəkdir. Bu boşluq Raif Berkay Dincel tərəfindən aşkar edilmiş və Linux Mint və Windows 10 əməliyyat sistemlərində təsdiqlənmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| citeum opencti | 3.3.1 | — |
| pyctiPyPI | v ≤ 3.3.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.