CVE-2022-41947
Təsvir
DHIS 2 məlumatların toplanması, idarə edilməsi, validasiyası, analitikası və vizuallaşdırılması üçün açıq mənbəli informasiya sistemidir. DHIS2-nin müxtəlif funksiyaları vasitəsilə autentifikasiyadan keçmiş istifadəçi daxilinə javascript yerləşdirilmiş fayl yükləyə bilər. Bundan sonra istifadəçi potensial olaraq autentifikasiyadan keçmiş digər istifadəçini zərərli faylı brauzerdə açmağa təhrik edə bilər ki, bu da javascript kodunun işə düşməsinə səbəb olaraq saytlararası skriptinq (XSS) hücumuna gətirib çıxarır. DHIS2 administratorları aşağıdakı hotfix buraxılışlarına yüksəltmə etməlidirlər: 2.36.12.1, 2.37.8.1, 2.38.2.1, 2.39.0.1. Yüksəltmə edə bilməyən istifadəçilər zəif endpoint-lər üçün veb-proksinə aşağıdakı sadə CSP qaydasını əlavə edə bilərlər: `script-src 'none'`. Bu müvəqqəti həll həmin endpoint-lərdə bütün javascript-in işləməsinin qarşısını alacaq.
Necə düzəltmək olar
- dhis2 dhis_22.36.12.1, 2.37.8.1, 2.38.2.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dhis2 dhis_2 | 2.35.0 ≤ v < 2.36.12.1, 2.37.0 ≤ v < 2.37.8.1, 2.38.0 ≤ v < 2.38.2.1, 2.39.0 | 2.36.12.1, 2.37.8.1, 2.38.2.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.