CVE-2022-24794
Təsvir
Express OpenID Connect, OpenID Connect istifadə edərək Express veb tətbiqləri üçün vahid giriş (sign on) funksionallığını həyata keçirən bir Express JS middleware-dir. `requiresAuth` middleware-indən, istər birbaşa, istərsə də standart `authRequired` seçimi vasitəsilə istifadə edən istifadəçilər, sözügedən middleware bütün marşrutları əhatə edən (catch all) bir marşrutla tətbiq edildikdə Açıq Yönləndirmə (Open Redirect) zəifliyinə məruz qalırlar. Əgər `example.com` altındakı bütün marşrutlar `requiresAuth` middleware ilə qorunursa, Express freymvorku tərəfindən bildirilen orijinal URL düzgün şəkildə təmizlənmədiyi üçün `http://example.com//google.com` ünvanına daxil olduqda, girişdən sonra istifadəçi `google.com` saytına yönləndiriləcəkdir. Bu zəiflik 2.7.2 versiyasından əvvəlki versiyalara təsir edir. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Məlum olan alternativ həll yolları yoxdur.
Necə düzəltmək olar
- auth0 express_openid_connect2.7.2 və ya daha yeni versiya
- express-openid-connect2.7.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| auth0 express_openid_connect | v < 2.7.2 | 2.7.2 |
| express-openid-connectnpm | v < 2.7.2 | 2.7.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.