CVE-2024-23817
Təsvir
Dolibarr müəssisə resurslarının planlaşdırılması (ERP) və müştəri münasibətlərinin idarə edilməsi (CRM) proqram təminatı paketidir. Versiya 18.0.4-də Dolibarr tətbiqinin Ana səhifəsində HTML Injection zəifliyi mövcuddur. Bu zəiflik hücumçuya ixtiyari HTML teqlərini yerləşdirməyə və tətbiqin cavabında render olunan məzmunu manipulyasiya etməyə imkan verir. Xüsusilə, qaytarılan sənədə yeni bir HTML teqi uğurla əlavə etmək mümkün olmuşdur və nəticədə Dolibarr tətbiqinin Ana səhifəsinin HTML kodunun bəzi hissələri şərhə (comment out) alınmışdır. Bu davranış Saytlararası Skriptinq (XSS) kimi müxtəlif hücumları həyata keçirmək üçün istifadə edilə bilər. Problemi aradan qaldırmaq üçün HTML injection hücumlarının qarşısını almaq məqsədilə bütün istifadəçi daxiletmələrini, xüsusilə HTML atributları daxilindəki məlumatları yoxlayın və təmizləyin (sanitize); həmçinin, istifadəçi tərəfindən təqdim olunan məlumatların icra oluna bilən HTML yox, sadə mətn kimi qəbul edilməsini təmin etmək üçün çıxış kodlamasını (output encoding) düzgün şəkildə tətbiq edin.
Necə düzəltmək olar
- dolibarr/dolibarr18.0.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dolibarr dolibarr_erp\/crm | 18.0.4 | — |
| dolibarr/dolibarrPackagist | 18.0.4 ≤ v < 18.0.7 | 18.0.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.