CVE-2024-53276
Təsvir
Home-Gallery.org şəxsi foto və videoları nəzərdən keçirmək üçün özünə məxsus serverdə yerləşdirilən açıq mənbəli veb qalereyadır. 1.15.0 və daha əvvəlki versiyalarda, app.js faylındakı açıq CORS siyasəti, standart parametrlər istifadə edildikdə hücumçunun home-gallery şəkillərini görməsinə şərait yarada bilər. Aşağıdakı express middleware hər hansı bir vebsayta home-gallery-yə çarpaz sayt sorğusu (cross site request) göndərməyə icazə verir və beləliklə, onların home-gallery-dəki hər hansı son nöqtəni (endpoint) oxumasına imkan yaradır. Səhifələrin çoxu JavaScript tələb etdiyi üçün və fetch() kimi çarpaz sayt sorğuları JavaScript-i render etmədiyi üçün home-gallery çarpaz sayt sorğularından əsasən qorunur. Əgər hücumçu təsadüfi şəkildə təyin edilmiş önizləmə şəkillərinin yolunu əldə edə bilsə, həmin şəkli görə biləcəkdir. Gələcəkdə həssas məlumatlar ehtiva edən statik fayllar və ya son nöqtələr əlavə edilərsə, onlar hücumçunun vebsaytı üçün əlçatan olacaqdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| xemle home-gallery | <= 1.15.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.