CVE-2026-47099
Təsvir
6.0.0 versiyasından əvvəlki TeleJSON, parse() funksiyasında zərərli _constructor-name_ xassəsi dəyəri olan xüsusi hazırlanmış JSON faylı vasitəsilə hücumçulara ixtiyari JavaScript kodunu icra etməyə imkan verən DOM-əsaslı saytlararası skriptinq (XSS) boşluğu ehtiva edir. Xüsusi reviver obyekt prototiplərini yenidən yaradarkən konstruktor adını təmizləmədən birbaşa new Function()-ə ötürür ki, bu da hücumçuların tətbiq daxilində skriptin icrasını təmin etmək üçün kross-freym kommunikasiya kontekstlərində postMessage kimi vektorlar vasitəsilə ixtiyari JavaScript kodunu yerləşdirməsinə şərait yaradır.
Necə düzəltmək olar
- telejson6.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| telejsonnpm | v < 6.0.0 | 6.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.