CVE-2024-56363
Təsvir
APTRS (Automated Penetration Testing Reporting System), penetrasiya testçiləri və təhlükəsizlik təşkilatları üçün nəzərdə tutulmuş, Python və Django əsaslı avtomatlaşdırılmış hesabatlandırma alətidir. Versiya 1.0-da veb tətbiqin Jinja2 şablonuna daxil edilən istifadəçi girişlərini emal etməsi ilə bağlı zəiflik mövcuddur. Xüsusilə, istifadəçi girişi düzgün təmizlənmədikdə və ya yoxlanılmadıqda, hücumçu şablona Jinja2 sintaksisini yerləşdirərək serverdə ixtiyari kodun icrasına səbəb ola bilər. Məsələn, hücumçu {{ config }}, {{ self.class.mro[1].subclasses() }} kimi ifadələri və ya daha təhlükəli olan ixtiyari Python kodunun icrasını tetikləyən payload-ları yerləşdirə bilər. Zəiflik, birbaşa Jinja2 şablonuna ötürülən və ckeditor tərəfindən idarə olunan bütün şablon sahələrinə xüsusi hazırlanmış girişlərin göndərilməsi ilə təkrar istehsal edilə bilər. Əgər giriş kifayət qədər təmizlənmədən render edilərsə, bu, serverdə zərərli Jinja2 kodunun icrasıyla nəticələnir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| APTRS APTRS | = 1.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.