CVE-2023-48226
Təsvir
OpenReplay özünə məxsus serverdə quraşdırılan sessiya təkrarı dəstidir. Versiya 1.14.0-da, Hesab Parametrləri (Account Settings) bölməsindəki Ad (Name) sahəsinin yoxlanılmaması səbəbindən (qeydiyyat zamanı yoxlama düzgün görünür), bədniyyətli şəxslər qurbanlara daxil edilmiş HTML kodu olan e-poçtlar göndərə bilər. Bədniyyətli şəxslər bundan, məsələn, fişinq əməliyyatları üçün istifadə edə bilərlər. E-poçt həqiqətən OpenReplay tərəfindən göndərilir, lakin bədniyyətli şəxslər ora HTML kodu yerləşdirə bilirlər (məzmunun saxtalaşdırılması). Nəzərə alın ki, Qeydiyyat mərhələləri zamanı Tam Ad (FullName) sahəsi düzgün şəkildə yoxlanılır və orada yazıla bilmir, lakin bu növ yan keçmə/alternativ üsul vasitəsilə bədniyyətli şəxslər öz məqsədlərinə nail ola bilərlər. Yayınlandığı tarix etibarilə heç bir məlum düzəliş və ya alternativ həll yolu mövcud deyil.
Necə düzəltmək olar
- openreplay openreplay1.15.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openreplay openreplay | v < 1.15.0 | 1.15.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.