CVE-2022-32114
Təsvir
Strapi 4.1.12 versiyasının Add New Assets funksiyasında məhdudiyyətsiz fayl yükləmə zəifliyi, hücumçulara xüsusi hazırlanmış PDF faylı vasitəsilə XSS hücumları həyata keçirməyə imkan verir. QEYD: layihə sənədləri göstərir ki, Media Library-də "Create (upload)" icazəsi olan istifadəçi JavaScript ehtiva edən PDF fayllarını yükləyə bilər və ictimai aktivlər qovluğundakı bütün fayllar kənar dünya üçün əlçatandır (fayl adı nöqtə simvolu ilə başlamadığı təqdirdə). Administrator arzu etdikdə yalnız şəkil, video və audio fayllarına (yəni PDF-ə yox) icazə verməyi seçə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| strapi strapi | 4.1.12 | — |
| @strapi/strapinpm | v ≤ 4.1.12 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.