CVE-2026-55876
Təsvir
Helium dərslər, ev tapşırıqları, qiymətlər və qeydlər üçün pulsuz onlayn tələbə planlaşdırıcısıdır. 2.2.60 versiyasından əvvəl, conf/configs/common.py faylında həmin formatların BLOCKED_ATTACHMENT_EXTENSIONS və BLOCKED_ATTACHMENT_MIME_TYPES siyahılarından çıxarılması və helium/planner/serializers/attachmentserializer.py faylının bu blok siyahılarına əsaslanması səbəbindən, POST /planner/attachments/ son nöqtəsi autentifikasiya olunmuş istifadəçilərə SVG və HTML qoşmaları yükləməyə imkan verir. image/svg+xml kimi təqdim olunan yüklənmiş SVG, ziyarətçi onun ictimai qoşma URL-ni açdıqda daxili skripti icra edə bilər ki, bu da tətbiq tərəfindən idarə olunan yaddaş URL-i altında hücumçu tərəfindən idarə olunan daimi aktiv məzmuna və fişinqə yol açır. Qoşmaların saxlandığı yer tətbiqdən fərqli mənşəli (origin) olduğu üçün eyni mənşə siyasəti (same-origin policy) skriptin tətbiq kukilərini və ya yaddaşını oxumasının qarşısını alır və mövcud yerləşdirmə konfiqurasiyası ilə tətbiq sessiyasının ələ keçirilməsi mümkün deyil. Bu problem 2.2.60 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| HeliumEdu platform | < 2.2.60 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.