CVE-2024-45298
Təsvir
Wiki.js Node.js üzərində qurulmuş açıq mənbəli wiki tətbiqidir. Deaktiv edilmiş istifadəçi parolun sıfırlanması funksiyasını sui-istifadə edərək yenə də wiki-yə giriş əldə edə bilər. Serverimdə SMTP e-poçtlarını qurarkən sözügedən e-poçtları test istifadəçimlə parolun sıfırlanmasını həyata keçirərək yoxladım. Təəccübləndim ki, bu, yalnız parolumu sıfırlamağa imkan vermədi, həm də parolu sıfırladıqdan sonra girişi bloklanmış olduğum wiki-yə daxil ola bildim. Bu boşluğun nəticələri ondan ibarətdir ki, istifadəçi **parolunun sıfırlanmasını tələb etməklə hesabın deaktiv edilməsindən yan keçə bilər**. Hər hansı hesab məhdudiyyətindən istifadə edən və deaktiv edilmiş istifadəçisi olan `2.5.303` versiyalı wiki.js-in bütün istifadəçiləri təsirlənir. Bu problem 2.5.304 versiyasında həll edilmişdir və bütün istifadəçilərə yeniləmə tövsiyə olunur. Bu zəiflik üçün məlum dövrə yolları yoxdur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| requarks wiki | = 2.5.303 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.