CVE-2025-48494
Təsvir
Gokapi avtomatik vaxtın bitməsi və şifrələmə dəstəyi olan özünə məxsus fayl paylaşım serveridir. Ucdan-uca şifrələmədən istifadə edərkən, fayl adına JavaScript kodu yerləşdirilmiş fayl yükləməklə saxlanılan saytlararası skriptinq (XSS) boşluğu istismar edilə bilər. Yükləmədən sonra və hər dəfə kimsə yükləmələr siyahısını açdıqda, skript analiz edilir. Versiya 2.0.0-dan əvvəl istifadəçi icazələri sistemi tətbiq edilməmişdi, buna görə də bütün autentifikasiya olunmuş istifadəçilər ucdan-uca şifrələnmiş olsa belə, bütün resursları görmək və dəyişdirmək imkanına malik idilər, çünki 2.0.0-dan əvvəlki versiyanı istifadə edən bütün istifadəçilər üçün şifrələmə açarı eyni olmalı idi. Əgər istifadəçi Gokapi-ni istifadə edən yeganə autentifikasiya olunmuş istifadəçidirsə, onlar təsirlənmir. Bu problem v2.0.0 versiyasında düzəldilib. Mümkün alternativ həll yolu ucdan-uca şifrələmənin söndürülməsidir.
Necə düzəltmək olar
- forceu gokapi2.0.0 və ya daha yeni versiya
- github.com/forceu/gokapi0.0.0-20250530191232-343cc566cfd7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| forceu gokapi | v < 2.0.0, 2.0.0 | 2.0.0 |
| github.com/forceu/gokapiGo | 1.0.1 ≤ v ≤ 1.9.6, v < 0.0.0-20250530191232-343cc566cfd7, Aralıq göstərilməyib | 0.0.0-20250530191232-343cc566cfd7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.