CVE-2024-8008
Təsvir
JDBC istifadəçi anbarı bağlantısının təsdiqləmə sorğusu tərəfindən yaradılan xəta mesajlarında kifayət qədər çıxış kodlaşdırmasının olmaması səbəbindən bir çox WSO2 məhsullarında əks olunmuş saytlararası skriptinq (XSS) zəifliyi mövcuddur. Bədniyyətli şəxs sorğuya xüsusi hazırlanmış faydalı yük yerləşdirərək brauzerin həssas səhifənin kontekstində ixtiyari JavaScript kodunu icra etməsinə səbəb ola bilər. Bu zəiflik istifadəçi interfeysinin manipulyasiyasına, bədniyyətli veb-saytlara yönləndirməyə və ya brauzerdən məlumatların sızdırılmasına imkan verə bilər. Lakin bütün sessiya ilə bağlı həssas kukilər httpOnly bayrağı ilə qorunduğu üçün sessiyanın ələ keçirilməsi mümkün deyil.
Necə düzəltmək olar
- org.wso2.carbon.identity.framework:org.wso2.carbon.identity.user.store.configuration.ui7.5.12 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wso2 api_manager | 3.1.0, 3.2.0, 3.2.1, 4.0.0, 4.1.0, 4.2.0, 4.3.0 | — |
| wso2 enterprise_integrator | 6.6.0 | — |
| wso2 identity_server | 5.10.0, 5.11.0, 6.0.0, 6.1.0, 7.0.0 | — |
| wso2 identity_server_as_key_manager | 5.10.0 | — |
| wso2 open_banking_am | 2.0.0 | — |
| wso2 open_banking_iam | 2.0.0 | — |
| org.wso2.carbon.identity.framework:org.wso2.carbon.identity.user.store.configuration.uiMaven | v < 7.5.12 | 7.5.12 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.