CVE-2024-49377

OctoPrint istehlakçı 3D printerlərini idarə etmək üçün veb interfeys təmin edir. OctoPrint-in 1.10.2 versiyası daxil olmaqla daha əvvəlki versiyalarda giriş dialoqunda və müstəqil tətbiq açarının təsdiqi dialoqunda refleksiyaedici saytlararası skriptinq (XSS) boşluqları mövcuddur. Qurbanı xüsusi hazırlanmış giriş linkinə klikləməyə razı edən və ya qurbanın kompüterində işləyən zərərli proqram vasitəsilə xüsusi parametrlərlə tətbiq açarı iş axınını tetikleyib sonra qurbanı müvafiq müstəqil təsdiq dialoquna yönləndirən hücumçu, bundan həssas konfiqurasiya parametrlərini əldə etmək və ya dəyişdirmək, çap prosesini dayandırmaq və ya digər yollarla OctoPrint instansiyası ilə zərərli şəkildə qarşılıqlı əlaqədə olmaq üçün istifadə edə bilər. Giriş dialoqunun və müstəqil tətbiq açarının təsdiqi dialoqunun yuxarıda qeyd olunan konkret boşluqları, aşkar edilmiş yerlərin fərdi şəkildə escape edilməsi ilə 1.10.3 xəta düzəltmə buraxılışında aradan qaldırılmışdır. Yaxın gələcəkdə çıxacaq 1.11.0 buraxılışı ilə bütün OctoPrint şablon sistemi üzrə qlobal dəyişiklik, qlobal şəkildə tətbiq edilən avtomatik escape sisteminə keçid edərək bu məsələni daha geniş həll edəcək və beləliklə ümumi hücum səthini azaldacaq. Sonuncu tədbir həmçinin üçüncü tərəf plaginlərinin təhlükəsizliyini artıracaq. Keçid dövründə üçüncü tərəf plaginləri avtomatik escape funksiyasını seçə biləcəklər. OctoPrint 1.13.0 versiyası ilə birlikdə, açıq şəkildə imtina etmədikləri təqdirdə, avtomatik escape funksiyası üçüncü tərəf plaginləri üçün də məcburi olaraq tətbiq ediləcək.