CVE-2025-27500
Təsvir
OpenZiti hər hansı tətbiqə sıfır etibar (zero trust) gətirməyə yönəlmiş pulsuz və açıq mənbəli layihədir. Admin panelindəki bir son nöqtəyə (/api/upload) heç bir autentifikasiya olmadan daxil olmaq mümkündür. Bu son nöqtə fayl yükləmək üçün HTTP POST sorğusunu qəbul edir, həmin fayl qovşaqda saxlanılır və URL vasitəsilə əlçatan olur. Yüklənən fayl zərərli kod ehtiva edirsə və daha sonra istifadəçinin brauzeri kontekstində açılıb icra edilərsə, bu, yaddaşda saxlanılan saytlararası skriptinq (XSS) hücumuna səbəb ola bilər. ziti-console qovşaq server tətbiqindən tək səhifəli tətbiqə (SPA) keçdiyi üçün bu funksiya artıq lazım deyil və deaktiv edilmişdir. Zəiflik 3.7.1 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- openziti openziti3.7.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openziti openziti | v < 3.7.1 | 3.7.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.