CVE-2025-56515
Təsvir
Fiora çat tətbiqinin 1.0.0 versiyasından etibarən istifadəçi avatarının yüklənməsi funksionallığında fayl yükləmə zəifliyi mövcuddur. Tətbiq SVG faylının məzmununu yoxlamır və bu, daxilində iframe teqləri və JavaScript hadisə idarəediciləri (onmouseover) olan foreignObject elementləri yerləşdirilmiş zərərli SVG fayllarının yüklənməsinə və saxlanılmasına şərait yaradır. Bu SVG faylları render edildikdə ixtiyari JavaScript kodu icra olunur ki, bu da hücumçulara istifadəçi sessiyalarını, kukiləri oğurlamağa və təsirlənmiş profillərə baxan istifadəçilərin kontekstində icazəsiz əməliyyatlar yerinə yetirməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| suisuijiang fiora | 1.0.0 | — |
| fioranpm | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.