CVE-2023-28424
Təsvir
packages.gentoo.org saytını təmin edən Soko proqram təminatının 1.0.2 versiyasından əvvəlki versiyalarında, `pkg/app/handler/packages/search.go` faylında tətbiq olunan iki paket axtarış handler-i (`Search` və `SearchFeed`), `q` parametri vasitəsilə SQL inyeksiyasına məruz qalır. Nəticədə, autentifikasiya olunmamış hücumçular `https://packages.gentoo.org/` ünvanında ixtiyari SQL sorğularını icra edə bilərlər. Həmçinin, bu boşluğun PostgreSQL konteyneri kontekstində kodun icrasını əldə etmək üçün kifayət etdiyi nümayiş etdirilmişdir. Problem 1.0.2 versiyasının `4fa6e4b619c0362728955b6ec56eab0e0cbf1e23y` commit-də, SQL sorğularında istifadəçi tərəfindən idarə olunan məlumatları interpolasiya etmək üçün hazırlıqlı ifadələrdən (prepared statements) istifadə edilməklə aradan qaldırılmışdır.
Necə düzəltmək olar
- gentoo soko1.0.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gentoo soko | v < 1.0.2 | 1.0.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.