CVE-2025-32391
Təsvir
HedgeDoc açıq mənbəli, real vaxt rejimində işləyən kollektiv markdown qeydləri tətbiqidir. 1.10.3 versiyasından əvvəl, HedgeDoc-a yüklənmiş zərərli SVG faylının redaktorda deyil, yeni tabda açılması saytlararası skriptinq (XSS) ehtimalını yaradır. XSS, GitHub Gist embed-lərinin JSONP imkanlarından istifadə etməklə mümkündür. Yalnız lokal fayl sistemi yükləmə backend-i olan və ya yükləmələrin HedgeDoc ilə eyni domendən təmin edildiyi xüsusi konfiqurasiyalara malik nümunələr həssasdır. Bu boşluq 1.10.3 versiyasında aradan qaldırılıb. HedgeDoc 1.10.3 versiyasına yeniləmək mümkün olmadıqda, nümunə sahibləri ilk qarşıtədbir kimi /uploads altındakı bütün marşrutlar üçün aşağıdakı başlıqları əlavə edə bilərlər: Content-Disposition: attachment və Content-Security-Policy: default-src 'none'. Əlavə olaraq, Content-Security-Policy başlığının script-src atributundakı xarici URL-lər silinməlidir.
Necə düzəltmək olar
- hedgedoc hedgedoc1.10.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| hedgedoc hedgedoc | v < 1.10.3 | 1.10.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.