CVE-2025-27145
Təsvir
Portativ fayl serveri olan copyparty-nin 1.16.15 versiyasından əvvəlki versiyalarında DOM-əsaslı saytlararası skriptinq (XSS) zəifliyi mövcuddur. Zəiflik aşağı riskli hesab olunur. Hücumçu bədxah adlı bir faylı kiməsə təqdim edərək və sonra həmin şəxsi faylı copyparty-nin Web-UI interfeysinə sürükləməyə sövq edərək, istifadəçinin imtiyazları ilə ixtiyari javascript kodunu icra edə bilər. Məsələn, bu, həmin istifadəçiyə məxsus fayllara qeyri-icazəli oxuma girişini təmin edə bilər. Xəta sürüklə-burax hərəkətinin özü tərəfindən tetiklenir; yükləmə prosesini faktiki olaraq başlatmaq zəruri deyil. Fayl boş (sıfır bayt) olmalıdır. Qeyd edək ki, ümumi təyinatlı veb server kimi, `<script>` teqləri daxilində ixtiyari javascript olan HTML fayllarının yüklənməsi qəsdən mümkün edilmişdir və bu fayllar açıldıqda icra olunacaqdır. Fərq ondadır ki, bu zəiflik javascript-in icrasını yüklənmiş fayl açılarkən yox, yükləmə aktı zamanı tetikləyir. Versiya 1.16.15 düzəlişi ehtiva edir.
Necə düzəltmək olar
- 9001 copyparty1.16.15 və ya daha yeni versiya
- copyparty1.16.15 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| 9001 copyparty | v < 1.16.15 | 1.16.15 |
| copypartyPyPI | v < 1.16.15 | 1.16.15 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.