CVE-2025-12848
Təsvir
Drupal 7.x üçün nəzərdə tutulmuş Webform Multiple File Upload modulu fayl adının render edilməsi prosesində saytlararası skriptinq (XSS) boşluğu ehtiva edir. Autentifikasiya olunmamış hücumçu, fayl növünün yoxlanılmasının deaktiv olduğu Multifile sahəsinə malik Webform düyününə JavaScript kodu tərkibli zərərli fayl adı ilə (məsələn, "<img src=1 onerror=alert(document.domain)>") fayl yükləməklə bu boşluqdan istifadə edə bilər. Bu, qurbanın brauzeri kontekstində ixtiyari skriptlərin icrasına imkan verir. Problem üçüncü tərəf kitabxanasında mövcuddur və https://github.com/fyneworks/multifile/pull/44 ünvanında təqdim olunan yamada aradan qaldırılmışdır. İstifadəçilərə təmin edilən yamanı tətbiq etmək və ya modulun düzəldilmiş versiyasına yeniləmək tövsiyə olunur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| webform_multiple_file_upload_project webform_multiple_file_upload | 7.x-1.2, 7.x-1.3, 7.x-1.4, 7.x-1.5, 7.x-1.6, 7.x-1.x | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.