CVE-2023-30609
Təsvir
matrix-react-sdk, veb səhifəsinə Matrix çat/VoIP klientini daxil etmək üçün React əsaslı bir SDK-dır. Versiya 3.71.0-dan əvvəl, HTML teqləri ehtiva edən sadə mətn mesajları axtarış nəticələrində HTML kimi render edilir. Bunu istismar etmək üçün hücumçu istifadəçini HTML injection yükü olan xüsusi bir mesajı axtarmağa sövq etməlidir. Sərt şəkildə təyin edilmiş məzmun təhlükəsizliyi siyasətinə (CSP) görə saytlararası skriptinq (XSS) hücumu mümkün deyil. SDK-nın 3.71.0 versiyası bu problemi aradan qaldırır. Müvəqqəti həll yolu olaraq, klientin yenidən başladılması HTML injection-u təmizləyəcəkdir.
Necə düzəltmək olar
- matrix-react-sdk_project matrix-react-sdk3.71.0 və ya daha yeni versiya
- matrix-react-sdk3.71.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| matrix-react-sdk_project matrix-react-sdk | v < 3.71.0 | 3.71.0 |
| matrix-react-sdknpm | v < 3.71.0 | 3.71.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.