CVE-2026-59864
Təsvir
Kiota OpenAPI əsaslı HTTP Client kod generatorudur. 1.29.1 və 1.32.5 versiyalarından əvvəl, `kiota plugin add` və `kiota plugin generate` (`-t APIPlugin` ilə) əmrləri, yol yoxlaması aparmadan x-ai-adaptive-card və x-ai-capabilities bölmələrindən hücumçu tərəfindən idarə olunan static_template.file dəyərlərini generatsiya edilmiş Microsoft 365 Copilot və Teams plagin manifestlərinə daxil edirdi. Bu, response_semantics.static_template.file hissəsində ../, mütləq, kök, UNC, Windows diski və ya URI yollarının istifadəsinə şərait yaradaraq, generatsiya edilmiş plagin tətbiq edildikdə yol keçirilməsinə (path traversal) və ya paketdən kənar faylların daxil edilməsinə səbəb olurdu. Bu problem 1.29.1 və 1.32.5 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- Microsoft.OpenApi.Kiota1.32.5, 1.29.1 və ya daha yeni versiya
- Microsoft.OpenApi.Kiota.Builder1.32.5, 1.29.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Microsoft.OpenApi.KiotaNuGet | 1.30.0 ≤ v < 1.32.5, v < 1.29.1 | 1.32.5, 1.29.1 |
| Microsoft.OpenApi.Kiota.BuilderNuGet | 1.30.0 ≤ v < 1.32.5, v < 1.29.1 | 1.32.5, 1.29.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.