CVE-2023-46238
Təsvir
ZITADEL kimlik infrastrukturu idarəetmə sistemidir. ZITADEL istifadəçiləri SVG daxil olmaqla müxtəlif şəkil növlərindən istifadə edərək öz avatar şəkillərini yükləyə bilərlər. SVG-lər render edilməsi zamanı icra oluna bilən javascript kimi skriptləri ehtiva edə bilər. Təhlükəsizlik başlığının (security header) çatışmazlığı səbəbindən hücumçu bəzi ssenarilərdə qurbanın hesabına giriş əldə etmək üçün SVG-yə kod inyeksiya edə bilər. Bu eksploytun işləməsi üçün qurban zərərli şəkli brauzerdə birbaşa açmalı və ZITADEL-də tək bir aktiv sessiya olmalıdır. Əgər potensial qurbanın ZITADEL-də çoxlu sayda aktiv sessiyası varsa və ya heç bir aktiv sessiyası yoxdursa, hücum uğurlu olmayacaqdır. Bu problem 2.39.2 və 2.38.2 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- zitadel zitadel2.38.2, 2.39.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zitadel zitadel | v < 2.38.2, 2.39.0 ≤ v < 2.39.2 | 2.38.2, 2.39.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.