CVE-2021-32818
Təsvir
haml-coffee JavaScript şablon həllidir. haml-coffee, Express render API vasitəsilə təmiz şablon məlumatlarını mühərrik konfiqurasiya seçimləri ilə qarışdırır. Daha dəqiq desək, haml-coffee öz konfiqurasiya seçimləri vasitəsilə bir sıra HTML köməkçi funksiyalarının yenidən təyin edilməsini dəstəkləyir. İstifadəçi tərəfindən idarə olunan sorğu obyektlərini haml-coffee şablon mühərrikinə ötürən zəiflikli tətbiqlərdə uzaqdan kodun icrası (RCE) zəiflikləri yarana bilər. Əlavə olaraq, şablon konfiqurasiyasının çirklənməsi yolu ilə escapeHtml parametrinin idarə olunması, haml-coffee-nin şablon girişlərini təmizləməməsinə səbəb olur ki, bu da aşağı axınlı tətbiqlərə qarşı əks olunmuş saytlararası skriptinq (XSS) hücumları ilə nəticələnə bilər. Bu CVE-nin dərc edildiyi tarixə etibarən sözügedən problemlər üçün hələ ki heç bir düzəliş yoxdur. haml-coffee-nin son versiyası hazırda 1.14.1-dir. Tam təfərrüatlar üçün istinad edilmiş GHSL-2021-025 sənədinə baxın.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| haml-coffee_project haml-coffee | v ≤ 1.14.1 | — |
| haml-coffeenpm | v ≤ 1.14.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.