CVE-2023-23619
Təsvir
Modelina AsyncAPI, OpenAPI və ya JSON Schema sənədləri kimi girişlər əsasında məlumat modelləri yaratmaq üçün kitabxanadır. 1.0.0-dan əvvəlki versiyalar kod inyeksiyasına həssasdır. Bu problem defolt presetlərdən istifadə edən və/və ya funksionallığı özü idarə etməyən hər kəsə təsir edir. Bu problem 1.0.0 versiyasında qismən azaldılıb və layihənin saxlayıcısının GitHub Təhlükəsizlik Məsləhətində (GHSA) qeyd olunur: "Buna tam şəkildə qarşı durmaq mümkün deyil, çünki istifadəçilərin orijinal xam məlumatlara çıxışı var. Lakin 1-ci versiyadan etibarən yalnız məhdudlaşdırılmış modellərə müraciət etsəniz, bu problemlə qarşılaşmayacaqsınız. Buna bənzər digər hallar təhlükəsizlik problemi kimi DEYİL, nəzərdə tutulan davranış kimi qəbul edilir." Saxlayıcılar tərəfindən təklif olunan müvəqqəti həll yolu: "Bütün render prosesini dəyişdirən və bununla da istifadəçi girişindən yayına bilən tam fərdi presetlər."
Necə düzəltmək olar
- lfprojects modelina1.0.0 və ya daha yeni versiya
- @asyncapi/modelina1.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lfprojects modelina | v < 1.0.0 | 1.0.0 |
| @asyncapi/modelinanpm | v < 1.0.0 | 1.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.