CVE-2025-34317
Təsvir
IPFire-ın 2.29 versiyasından əvvəlki versiyaları (Core Update 198), autentifikasiya olunmuş hücumçunun yeni DNS yazısı əlavə edərkən TLS_HOSTNAME parametri vasitəsilə ixtiyari JavaScript kodunu yerləşdirməsinə imkan verən saxlanılan saytlararası skriptinq (XSS) boşluğu ehtiva edir. İstifadəçi DNS yazısı əlavə etdikdə, tətbiq /cgi-bin/dns.cgi ünvanına HTTP POST sorğusu göndərir və TLS host adı TLS_HOSTNAME parametrində təqdim olunur. Bu parametrinin dəyəri yaddaşa yazılır və daha sonra lazımi təmizləmə və ya kodlaşdırma olmadan veb interfeysdə göstərilir ki, bu da yerləşdirilmiş skriptlərin təsirlənmiş DNS konfiqurasiyasını görən digər istifadəçilərin kontekstində icra olunmasına şərait yaradır.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ipfire ipfire | v ≤ 2.29, 2.29 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.