CVE-2024-28246
Təsvir
KaTeX vebdə TeX riyazi ifadələrinin render edilməsi üçün nəzərdə tutulmuş JavaScript kitabxanasıdır. KaTeX-in `trust` seçimindən istifadə edən və xüsusilə müəyyən URL protokollarını qara siyahıya almaq üçün funksiya təmin edən kod, protokol hissəsində böyük hərflərdən istifadə edən zərərli girişlərdəki URL-lər vasitəsilə aldadıla bilər. Xüsusilə bu, `trust: (context) => context.protocol !== 'javascript'` vasitəsilə həmin protokolun qadağan edilməyə çalışılmasına baxmayaraq, zərərli girişlərin çıxışda `javascript:` linkləri yaratmasına şərait yarada bilər. Bu boşluğu aradan qaldırmaq üçün KaTeX v0.16.10 versiyasına yeniləyin.
Necə düzəltmək olar
- katex katex0.16.10 və ya daha yeni versiya
- katex0.16.10 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| katex katex | 0.11.0 ≤ v < 0.16.10 | 0.16.10 |
| katexnpm | 0.11.0 ≤ v < 0.16.10 | 0.16.10 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.