CVE-2022-27139
Təsvir
Ghost v4.39.0-ın fayl yükləmə modulundakı ixtiyari fayl yükləmə zəifliyi hücumçulara xüsusi hazırlanmış SVG faylı vasitəsilə ixtiyari kodun icrasına imkan verir. QEYD: Vendor bildirir ki, Ghost-un təhlükəsizlik sənədlərində göstərildiyi kimi, SVG-lərin yüklənməsi yalnız etibarlı autentifikasiya olunmuş istifadəçilər tərəfindən mümkündür. Ghost-a SVG fayllarının yüklənməsi uzaqdan kodun icrası zəifliyini təmsil etmir. SVG-lər serverdə icra edilmir və yalnız müştəri brauzerində javascript icra edə bilər - bu, gözlənilən və qəsdən nəzərdə tutulmuş funksionallıqdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ghost ghost | 4.39.0 | — |
| ghostnpm | v ≤ 4.39.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.