CVE-2023-42458
Təsvir
Zope açıq mənbəli veb tətbiq serveridir. 4.8.10 və 5.8.5 versiyalarından əvvəlki versiyalarda SVG şəkilləri üçün saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. Qeyd edək ki, mənbə kimi SVG şəkli olan təsvir teqi (image tag), hətta SVG şəkli zərərli kod ehtiva etdikdə belə, heç vaxt zəifliyə məruz qalmır. Zəiflikdən istifadə etmək üçün hücumçu əvvəlcə bir şəkil yükləməli, sonra isə istifadəçini xüsusi hazırlanmış linkə keçməyə sövq etməlidir. Zope 4.8.10 və 5.8.5 versiyalarında yamalar mövcuddur. Alternativ həll yolu kimi, "Add Documents, Images, and Files" icazəsinin yalnız etibarlı rollara təyin edildiyindən əmin olun. Defolt olaraq, bu icazə yalnız Menecerə (Manager) verilib.
Necə düzəltmək olar
- zope zope4.8.10, 5.8.5 və ya daha yeni versiya
- zope4.8.10, 5.8.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zope zope | v < 4.8.10, 5.0.0 ≤ v < 5.8.5 | 4.8.10, 5.8.5 |
| zopePyPI | v < 4.8.10, 5.8.0 ≤ v < 5.8.5 | 4.8.10, 5.8.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.