CVE-2022-24897
Təsvir
Velocity ilə məzmunu qiymətləndirmək üçün olan API-lər, Velocity vasitəsilə məzmunun qiymətləndirilməsi üçün nəzərdə tutulmuş API paketidir. Versiya 2.3-dən başlayaraq və 12.6.7, 12.10.3 və 13.0 versiyalarına qədər olan hissədə, Velocity skriptləri fayl sistemində oxuma və ya yazma əməliyyatlarını yerinə yetirmək üçün Java File API-dan istifadəsinə qarşı düzgün şəkildə təcrid olunmayıb (sandboxed). Velocity-də hücum skriptinin yazılması XWiki-də Skript hüquqlarını tələb edir, buna görə də bütün istifadəçilər bundan istifadə edə bilmir, həmçinin Fayl qaytaran bir XWiki API-nin tapılmasını tələb edir. Problem 12.6.7, 12.10.3 və 13.0 versiyalarında aradan qaldırılıb. Bu zəifliyi düzəltmək üçün yeniləmə etmək və Skript hüquqlarını verərkən diqqətli olmaqdan başqa asan alternativ həll yolu yoxdur.
Necə düzəltmək olar
- xwiki xwiki12.6.7, 12.10.3 və ya daha yeni versiya
- org.xwiki.commons:xwiki-commons-velocity12.6.7, 12.10.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| xwiki xwiki | 2.3 ≤ v < 12.6.7, 12.7 ≤ v < 12.10.3 | 12.6.7, 12.10.3 |
| org.xwiki.commons:xwiki-commons-velocityMaven | 2.3.0 ≤ v < 12.6.7, 12.7.0 ≤ v < 12.10.3 | 12.6.7, 12.10.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.