CVE-2023-49293
Təsvir
Vite veb-sayt front-end freymvorkudur. Vite-nin HTML transformasiyası `server.transformIndexHtml` vasitəsilə əllə çağırıldıqda, orijinal sorğu URL-i dəyişdirilmədən ötürülür və transformasiya olunan `html` daxili modul skriptləri (`<script type="module">...</script>`) ehtiva edirsə, `server.transformIndexHtml`-ə zərərli URL sorğu sətiri təqdim etməklə transformasiya olunmuş nəticəyə ixtiyari HTML inyeksiya etmək mümkündür. Yalnız `appType: 'custom'` istifadə edən və standart Vite HTML middleware-indən istifadə edən tətbiqlər bundan təsirlənir. HTML giriş nöqtəsi həmçinin daxili skript ehtiva etməlidir. Hücum üçün istifadəçi dev server işlədildiyi zaman zərərli URL-ə klikləməlidir. Məhdudlaşdırılmış fayllar hücumçuya açıq deyil. Bu problem [email protected], [email protected] və [email protected] versiyalarında aradan qaldırılıb. Bu zəiflik üçün məlum olan heç bir alternativ həll yolu yoxdur.
Necə düzəltmək olar
- vite4.4.12, 4.5.1, 5.0.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vitejs vite | 4.4.0 ≤ v ≤ 4.4.11, 5.0.0 ≤ v ≤ 5.0.4, 5.0.0 | — |
| vitenpm | 4.4.0 ≤ v < 4.4.12, 4.5.0 ≤ v < 4.5.1, 5.0.0 ≤ v < 5.0.5 | 4.4.12, 4.5.1, 5.0.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.