CVE-2023-31133
Təsvir
Ghost yeni media yaradıcıları üçün veb-sayt qurmaq, məzmun dərc etmək, xəbər bülletenləri göndərmək və üzvlərə ödənişli abunəliklər təklif etmək üçün alətlərə malik tətbiqdir. 5.46.1 versiyasından əvvəl, ictimai API endpoint-lərində filtrləmə zamanı validasiyanın olmaması səbəbindən brute force hücumu vasitəsilə şəxsi sahələri aşkar etmək mümkündür. Ghost(Pro) artıq yamaqlanıb. Baxıcılar düzəliş əlavə edilməzdən əvvəl problemin Ghost(Pro)-da istismar edildiyinə dair heç bir dəlil tapa bilmirlər. Öz serverində yerləşdirənlər Ghost-un v5.46.1-dən aşağı versiyasını işlədirlərsə, təsirlənirlər. v5.46.1 bu problem üçün düzəliş ehtiva edir. Müvəqqəti həll kimi, `filter` sorğu parametri `password` və ya `email` ehtiva edən `/ghost/api/content/*` ünvanına sorğular üçün blok əlavə edin.
Necə düzəltmək olar
- ghost ghost5.46.1 və ya daha yeni versiya
- ghost5.46.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ghost ghost | v < 5.46.1 | 5.46.1 |
| ghostnpm | v < 5.46.1 | 5.46.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.