CVE-2023-30538
Təsvir
Discourse icma müzakirələri üçün açıq mənbəli platformadır. SVG fayllarının düzgün təmizlənməməsi səbəbindən hücumçu xüsusi hazırlanmış SVG faylı yükləyərək istifadəçilərin brauzerlərində ixtiyari JavaScript kodunu icra edə bilər. Bu problem Discourse-un ən son stabil və testdən keçmiş versiyalarında aradan qaldırılıb. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Yeniləmə imkanı olmayan istifadəçilər üçün iki mümkün alternativ həll yolu mövcuddur: yükləmələrin CDN tərəfindən idarə edilməsini aktivləşdirmək (və CDN-in SVG fayllarını təmizlədiyindən əmin olmaq) və ya `authorized extensions` sayt parametrinə `svg` formatının daxil edilmədiyindən əmin olaraq SVG fayllarının yüklənməsini deaktiv etmək (və ya həmin parametri standart vəziyyətə qaytarmaq; standart olaraq Discourse istifadəçilər tərəfindən SVG yüklənmələrini aktivləşdirmir).
Necə düzəltmək olar
- discourse discourse3.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| discourse discourse | v ≤ 3.0.2, v < 3.1.0, 3.1.0 | 3.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.