CVE-2026-105630
Təsvir
Plane açıq mənbəli layihə idarəetmə alətidir. 1.4.0 versiyasından əvvəl, Qonaq daxil olmaqla, autentifikasiya olunmuş aşağı imtiyazlı iş sahəsi üzvü ümumi və ya problem qoşması kimi şəkil/svg+xml faylını yükləyə bilər. Fayl hücumçu tərəfindən idarə olunan Content-Type dəyərini saxlayır və asset-download son nöqtəsi Content-Disposition: inline ilə öncədən imzalanmış URL yaradır. Defolt özünə aid (self-hosted) MinIO yerləşdirməsində aktivlik URL-i Plane tətbiqi ilə eyni mənşədən təmin edilir ki, bu da gömülmüş SVG JavaScript-in tətbiqin təhlükəsizlik kontekstində icra olunmasına imkan verir. Linki açan qurbanın, o cümlədən iş sahəsi administratorunun sessiyası saxlanılan saytlararası skriptinq (XSS) vasitəsilə kompromis edilə bilər və bu, hesabın ələ keçirilməsinə səbəb ola bilər. Bu problem 1.4.0 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| makeplane plane | < 1.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.