CVE-2025-62614
Təsvir
BookLore şəxsi kitab kolleksiyalarını təşkil etmək və idarə etmək üçün nəzərdə tutulmuş özünə məxsus (self-hosted) veb tətbiqdir. Versiya 1.8.1 və daha əvvəlki versiyalarda, BookMediaController-də olan autentifikasiyadan yan keçmə zəifliyi hər hansı autentifikasiya olunmamış istifadəçiyə kitab üzlüklərinə, kiçik şəkillərə (thumbnails) və tam PDF/CBX səhifə məzmununa icazəsiz daxil olmağa və onları yükləməyə imkan verir. Zəiflik bir neçə media son nöqtələrində (endpoints) müvafiq giriş kontrol annotasiyalarının olmaması və CoverJwtFilter-in autentifikasiya tokeni təqdim edilmədiyi halda belə sorğu emalını davam etdirməsi səbəbindən yaranır. Bu, hücumçulara sistemdəki bütün kitab məzmununu sadalamağa və çıxarmağa, nəticədə nəzərdə tutulmuş yükləmə icazələrini (canDownload) tamamilə yan keçməyə imkan verir. Problem b2226c43 commit-i vasitəsilə aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| booklore-app booklore | <= 1.8.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.