CVE-2022-39353
Təsvir
xmldom, təmiz JavaScript ilə yazılmış W3C standartına əsaslanan (XML DOM Level 2 Core) `DOMParser` və `XMLSerializer` moduludur. xmldom birdən çox üst səviyyəli elementlər ehtiva etdiyi üçün düzgün formalaşmamış XML sənədlərini analiz edir və heç bir xəta bildirmədən və ya istisna (exception) yaratmadan bütün kök düyünləri `Document`-in `childNodes` kolleksiyasına əlavə edir. Bu, ağacda yalnız bir kök düyünün olduğu fərziyyəsini pozur ki, bu da asılılıqlar üçün potensial problem yaratdığından CVE-2022-39299-un verilməsinə səbəb olmuşdur. @xmldom/xmldom@~0.7.7, @xmldom/xmldom@~0.8.4 (dist-tag latest) və ya @xmldom/xmldom@>=0.9.0-beta.4 (dist-tag next) versiyalarına yeniləyin. Müvəqqəti həll yolu kimi, istifadə halınızdan asılı olaraq aşağıdakı yanaşmalardan birini tətbiq edin: elementləri bütün DOM daxilində axtarmaq əvəzinə, yalnız `documentElement` daxilində axtarın və ya 1-dən çox `childNode`-a malik olan sənədi rədd edin.
Necə düzəltmək olar
- xmldom_project xmldom0.6.0, 0.7.7, 0.8.4 və ya daha yeni versiya
- @xmldom/xmldom0.7.7, 0.8.4, 0.9.0-beta.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| xmldom_project xmldom | v < 0.6.0, 0.7.0 ≤ v < 0.7.7, 0.8.0 ≤ v < 0.8.4, 0.9.0 | 0.6.0, 0.7.7, 0.8.4 |
| debian debian_linux | 10.0 | — |
| xmldomnpm | v ≤ 0.6.0 | — |
| @xmldom/xmldomnpm | v < 0.7.7, 0.8.0 ≤ v < 0.8.4, 0.9.0-beta.1 ≤ v < 0.9.0-beta.4 | 0.7.7, 0.8.4, 0.9.0-beta.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.