CVE-2023-40183
Təsvir
DataEase açıq mənbəli məlumat vizuallaşdırma və analiz alətidir. Versiya 1.18.11-dək olan DataEase versiyalarında hücumçunun istifadəçi kukilərini əldə etməsinə şərait yaradan zəiflik mövcuddur. Proqram faylın şəkil faylı olub-olmadığını müəyyən etmək üçün yalnız `ImageIO.read()` metodundan istifadə edir. Fayl sonluqları üzrə ağ siyahı məhdudiyyəti yoxdur. Bu, hücumçuya yükləmək üçün hücum kodunu şəklin daxilinə yerləşdirməyə və fayl genişlənməsini html ilə dəyişməyə imkan verir. Hücumçu linklərə daxil olmaqla istifadəçi kukilərini oğurlaya bilər. Zəiflik v1.18.11 versiyasında aradan qaldırılmışdır. Məlum olan alternativ həll yolları yoxdur.
Necə düzəltmək olar
- dataease dataease1.18.11 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dataease dataease | v < 1.18.11 | 1.18.11 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.