CVE-2024-56326
Təsvir
Jinja genişləndirilə bilən şablon mühərrikidir. 3.1.5 versiyasından əvvəl, Jinja qumcu (sandbox) mühitinin str.format çağırışlarını aşkarlama mexanizmindəki səhv, şablonun məzmununu idarə edən hücumçuya ixtiyari Python kodunun icrasına imkan verir. Bu zəiflikdən istifadə etmək üçün hücumçunun şablonun məzmununa nəzarət etməsi lazımdır. Bunun mümkün olub-olmaması Jinja-dan istifadə edən tətbiqin növündən asılıdır. Bu zəiflik etibarsız şablonları icra edən tətbiqlərdən istifadə edən istifadəçilərə təsir göstərir. Jinja-nın qumcusu str.format çağırışlarını tutur və onların qumcu mühitindən kənara çıxmadığından əmin olur. Lakin, zərərli sətirin format metoduna istinad saxlamaq və sonra onu həmin metodu çağıran filtrə ötürmək mümkündür. Belə filtrlər Jinja-da daxili olaraq mövcud deyil, lakin tətbiqdəki xüsusi filtrlər vasitəsilə mövcud ola bilər. Düzəlişdən sonra belə dolayı çağırışlar da qumcu tərəfindən idarə olunur. Bu zəiflik 3.1.5 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- palletsprojects jinja3.1.5 və ya daha yeni versiya
- jinja23.1.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| palletsprojects jinja | v < 3.1.5 | 3.1.5 |
| jinja2PyPI | v < 3.1.5 | 3.1.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.