CVE-2022-24814
Təsvir
Directus, SQL məlumat bazasının məzmununu idarə etmək üçün real vaxt rejimində işləyən API və Tətbiq panelidir. Versiya 9.7.0-dan əvvəl, zəngin mətnli (rich text) HTML interfeysinə, yüklənmiş bir HTML faylına istinad edən və özünün script teqi vasitəsilə digər yüklənmiş JS faylını çağıran iframe yerləşdirməklə icazəsiz JavaScript (JS) kodu icra edilə bilər. Bu, standart məzmun təhlükəsizlik siyasəti (CSP) başlığını təmin edir ki, bu da fayla hər hansı ixtiyari JS kodunu işə salmağa imkan verir. Bu problem versiya 9.7.0-da həll edilmişdir. Müvəqqəti həll yolu kimi, Zəngin Mətnli HTML interfeysinin _Options Overrides_ seçiminə `{ "media_live_embeds": false }` əlavə edərək WYSIWYG redaktorunda canlı yerləşdirməni (live embed) deaktiv edin.
Necə düzəltmək olar
- rangerstudio directus9.7.0 və ya daha yeni versiya
- directus9.7.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| rangerstudio directus | v < 9.7.0 | 9.7.0 |
| directusnpm | v < 9.7.0 | 9.7.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.