CVE-2023-22454
Təsvir
Discourse açıq mənbəli müzakirə platformasıdır. `stable` budağında 2.8.14 versiyasından və `beta` ilə `tests-passed` budaqlarında 3.0.0.beta16 versiyasından əvvəl, gözləyişdə olan post başlıqlarından saytlararası skriptinq (XSS) hücumları üçün istifadə edilə bilər. Kateqoriyada "bütün yeni mövzular üçün moderator təsdiqi tələb et" parametri aktiv olduqda, imtiyazsız istifadəçilər tərəfindən gözləyişdə olan postlar yaradıla bilər. Bu zəiflik, Discourse-un standart Məzmun Təhlükəsizlik Siyasətini (Content Security Policy) dəyişmiş və ya deaktiv etmiş saytlarda tam XSS-ə səbəb ola bilər. 2.8.14 və 3.0.0.beta16 versiyalarında yamaq mövcuddur.
Necə düzəltmək olar
- discourse discourse2.8.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| discourse discourse | v < 2.8.14, 1.1.0, 1.2.0, 1.3.0, 1.4.0, 1.5.0, 1.6.0, 1.7.0, 1.8.0, 1.9.0, 2.0.0, 2.1.0, 2.2.0, 2.3.0, 2.4.0, 2.5.0, 2.6.0, 2.7.0, 2.8.0, 2.9.0 | 2.8.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.