CVE-2024-58394
Təsvir
Retool-un 3.88.0 versiyasından əvvəlki versiyaları, autentifikasiya olunmamış hücumçulara zərərli SVG fayllarını /api/imageProxy vasitəsilə ötürməklə skriptləri icra etməyə imkan verən saytlararası skriptinq (XSS) boşluğu ehtiva edir. Hücumçular url parametrində öz tərəflərindən host edilən SVG təqdim edə bilərlər ki, bu da Content Security Policy olmadan Retool mənşəliyindən servis edilir və qurbanların sessiyalarında JavaScript-i icra edir. İstismar sübutları ilk dəfə 15 oktyabr 2024-cü ildə Shadowserver Foundation tərəfindən müşahidə edilmişdir.
Necə düzəltmək olar
- Retool Retool3.88.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Retool Retool | v < 3.88.0 | 3.88.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.