CVE-2022-23499
Təsvir
HTML sanitizer PHP dilində yazılmışdır və açıq şəkildə icazə verilən teqlər, atributlar və dəyərlər əsasında XSS-dən təhlükəsiz markap təmin etməyi hədəfləyir. 1.5.0 və ya 2.1.1 versiyalarından əvvəlki versiyalarda xüsusi HTML CDATA bölmələri ilə ardıcıllıqla istifadə edilən zərərli markap, yuxarı axın paketi masterminds/html5-dəki analiz problemi səbəbindən filtrlənə və təmizlənə bilməz. Bu, typo3/html-sanitizer-in saytlararası skriptinq (XSS) mexanizmindən yan keçməyə imkan verir. Yuxarı axın paketi masterminds/html5 HTML xam mətn elementlərini (`script`, `style`, `noframes`, `noembed` və `iframe`) DOMText qovşaqları kimi təqdim edir və onlar emal edilmir və əlavə təmizlənmirdi. Qeyd olunan elementlərdən heç biri defolt builder konfiqurasiyasında müəyyən edilməmişdi, buna görə də yalnız həmin teq adlarından birini istifadə edən fərdi davranışlar saytlararası skriptinqə (XSS) həssas idi. Bu problem 1.5.0 və 2.1.1 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- typo3 html_sanitizer2.1.1 və ya daha yeni versiya
- typo3/html-sanitizer1.5.0, 2.1.1 və ya daha yeni versiya
- typo3/cms10.4.33, 11.5.20, 12.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| typo3 html_sanitizer | 1.0.0 ≤ v ≤ 1.0.7, 2.0.0 ≤ v < 2.1.1 | 2.1.1 |
| typo3/html-sanitizerPackagist | 1.0.0 ≤ v < 1.5.0, 2.0.0 ≤ v < 2.1.1 | 1.5.0, 2.1.1 |
| typo3/cmsPackagist | 10.0.0 ≤ v < 10.4.33, 11.0.0 ≤ v < 11.5.20, 12.0.0 ≤ v < 12.1.1 | 10.4.33, 11.5.20, 12.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.