CVE-2025-58172
Təsvir
drawnix bütünübir açıq mənbəli ağ lövhə alətidir. drawnix-in 0.2.1 daxil olmaqla versiyalarında debug loqlama funksionallığında saytlararası skriptinq (XSS) zəifliyi mövcuddur. apps/web/src/app/app.tsx faylında div.innerHTML = value ifadəsinin icra edildiyi kimi, __drawnix__web__console qlobal funksiyası çağırıldıqda istifadəçi tərəfindən idarə olunan məzmun təmizlənmədən birbaşa innerHTML vasitəsilə DOM-a daxil edilir. Əgər hücumçu etibarsız məlumatların debug loqqerə ötürülməsinə səbəb ola bilsə (məsələn, zərərli genişlənmə və ya digər inyeksiya vektoru vasitəsilə), bu, tətbiqin kontekstində ixtiyari JavaScript kodunun icrasına şərait yarada bilər ki, bu da istifadəçi məlumatlarının sızmasına və ya icazəsiz əməliyyatların yerinə yetirilməsinə gətirib çıxara bilər. Problem 0.3.0 versiyasında düzəldilmişdir. 0.3.0 və ya daha yeni versiyaya yeniləmək tövsiyə olunur. Məlum olan alternativ həll yolları yoxdur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| plait-board drawnix | < 0.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.