CVE-2021-43862
Təsvir
jQuery Terminal Emulator tətbiqlərdə əmr sətri interpretatorları yaratmaq üçün nəzərdə tutulmuş bir plagindir. 2.31.1 versiyasından əvvəlki versiyalarda aşağı təsirli və məhdud saytlararası skriptinq (XSS) zəifliyi mövcuddur. XSS faydalı yükünün kodu həmişə görünürdür, lakin hücumçu qurbanın gördüyü kodu gizlətmək üçün digər texnikalardan istifadə edə bilər. Əgər tətbiq `execHash` seçimindən istifadə edirsə və URL-dən kodu icra edirsə, hücumçu öz kodunu icra etmək üçün bu URL-dən istifadə edə bilər. Kapsam məhduddur, çünki istifadə olunan javascript atributu span teqinə əlavə edilir, buna görə də şəkillərdəki `onerror` kimi avtomatik icra mümkün deyil. Bu problem 2.31.1 versiyasında düzəldilmişdir. Müvəqqəti həll yolu kimi istifadəçi bütün istifadəçi girişini əhatə edən və heç bir əməliyyat yerinə yetirməyən formatlamadan istifadə edə bilər. Bu müvəqqəti həll yolunun kodu GitHub Security Advisory-də mövcuddur. Düzəliş yalnız kitabxana istifadəçisi fərqli formatlayıcılardan (məsələn, kodu fərqli şəkildə vurğulamaq üçün) istifadə etmədikdə işləyəcəkdir.
Necə düzəltmək olar
- jquery.terminal_project jquery.terminal2.31.1 və ya daha yeni versiya
- jquery.terminal2.31.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jquery.terminal_project jquery.terminal | v < 2.31.1 | 2.31.1 |
| jquery.terminalnpm | v < 2.31.1 | 2.31.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.