CVE-2022-35942
Təsvir
`contains` LoopBack filtri üzrə düzgün olmayan giriş yoxlaması ixtiyari SQL inyeksiyasına imkan verə bilər. Genişləndirilmiş filtr xassəsi olan `contains` Postgres konnektoru tərəfindən şərh edilməyə icazə verildikdə, qoşulmuş verilənlər bazasında saxlanılan məlumatların məxfiliyinə və bütövlüyünə təsir edə biləcək ixtiyari SQL yeritmək mümkündür. 5.5.1 versiyasında yamaq buraxılmışdır. Bu, aşağıdakılardan hər hansı birini edən istifadəçilərə aiddir: - Verilənlər bazasına DataSource vasitəsilə `allowExtendedProperties: true` parametri ilə qoşulma OR - Konnektorun CRUD metodlarından birbaşa istifadə OR - LoopBack filtrini şərh etmək üçün konnektorun digər metodlarından istifadə. Təkmilləşdirməni həyata keçirə bilməyən istifadəçilər, tətbiq olunduğu halda, aşağıdakıları etməlidir: - `allowExtendedProperties: true` DataSource parametrini silin - `allowExtendedProperties: false` DataSource parametrini əlavə edin - Konnektor funksiyalarına birbaşa ötürərkən, `contains` LoopBack filtri üçün istifadəçi girişini əvvəlcədən əl ilə təmizləyin.
Necə düzəltmək olar
- linuxfoundation loopback-connector-postgresql5.5.1 və ya daha yeni versiya
- loopback-connector-postgresql5.5.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation loopback-connector-postgresql | v < 5.5.1 | 5.5.1 |
| loopback-connector-postgresqlnpm | v < 5.5.1 | 5.5.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.