CVE-2022-31191
Təsvir
DSpace açıq mənbəli proqram təminatı rəqəmsal resurslara davamlı giriş təmin edən repozitoriya tətbiqidir. dspace-jspui DSpace üçün istifadəçi interfeysi (UI) komponentidir. JSPUI-nin orfoqrafik yoxlama funksiyasındakı "Did you mean" hissəsi linkdəki data-spell atributunu HTML formatında ekranlaşdırır (escape), lakin faktiki göstərilən mətni ekranlaşdırmır. Eynilə, JSPUI avtomatik tamamlama (autocomplete) HTML-i ona ötürülən mətni düzgün şəkildə ekranlaşdırmır. Hər iki hal XSS zəifliyinə meyillidir. Bu zəiflik yalnız JSPUI-yə təsir edir. İstifadəçilərə versiyanı yeniləmək tövsiyə olunur. Bu problem üçün məlum olan alternativ həll yolu yoxdur.
Necə düzəltmək olar
- duraspace dspace6.4 və ya daha yeni versiya
- org.dspace:dspace-jspui5.11, 6.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| duraspace dspace | 4.0 < v ≤ 5.10, 6.0 < v < 6.4 | 6.4 |
| org.dspace:dspace-jspuiMaven | 4.0 ≤ v < 5.11, 6.0 ≤ v < 6.4 | 5.11, 6.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.