CVE-2013-1857
Açıklama
Ruby on Rails'in 2.3.18 öncesi, 3.0.x ve 3.1.12 öncesi 3.1.x ile 3.2.13 öncesi 3.2.x sürümlerindeki Action Pack bileşeninde bulunan lib/action_controller/vendor/html-scanner/html/sanitizer.rb dosyasındaki sanitize yardımcısı, URL'lerdeki kodlanmış : (iki nokta üst üste) karakterlerini uygun şekilde işlemez; bu durum, : dizisinin eklenmesiyle örneklendiği üzere, özel olarak hazırlanmış bir şema adı aracılığıyla uzaktaki saldırganların siteler arası betik çalıştırma (XSS) saldırıları gerçekleştirmesini kolaylaştırır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rubyonrails rails | 0.9.1, 0.9.2, 0.9.3, 0.9.4, 0.9.4.1, 0.10.0, 0.10.1, 0.11.0, 0.11.1, 0.12.0, 0.12.1, 0.13.0, 0.13.1, 0.14.1, 0.14.2, 0.14.3, 0.14.4, 1.0.0, 1.1.0, 1.1.1, 1.1.2, 1.1.3, 1.1.4, 1.1.5, 1.1.6, 1.2.0, 1.2.1, 1.2.2, 1.2.3, 1.2.4, 1.2.5, 1.2.6, 1.9.5, 2.0.0, 2.0.1, 2.0.2, 2.0.4, 2.1.0, 2.1.1, 2.1.2, 2.2.0, 2.2.1, 2.2.2, 2.3.0, 2.3.1, 2.3.2, 2.3.3, 2.3.4, 2.3.9, 2.3.10, 2.3.11, 2.3.12, 2.3.13, 2.3.14, 2.3.15, 2.3.16, 3.0.0, 3.0.1, 3.0.2, 3.0.3, 3.0.4, 3.0.5, 3.0.6, 3.0.7, 3.0.8, 3.0.9, 3.0.10, 3.0.11, 3.0.12, 3.0.13, 3.0.14, 3.0.16, 3.0.17, 3.0.18, 3.0.19, 3.0.20, 3.1.0, 3.1.1, 3.1.2, 3.1.3, 3.1.4, 3.1.5, 3.1.6, 3.1.7, 3.1.8, 3.1.9, 3.1.10, 3.2.0, 3.2.1, 3.2.2, 3.2.3, 3.2.4, 3.2.5, 3.2.6, 3.2.7, 3.2.8, 3.2.9, 3.2.10, 3.2.11, 3.2.12 | — |
| redhat enterprise_linux | 6.0 | — |
| rubyonrails ruby_on_rails | v ≤ 2.3.17, 0.5.0, 0.5.5, 0.5.6, 0.5.7, 0.6.0, 0.6.5, 0.7.0, 0.8.0, 0.8.5, 0.9.0, 3.0.4, 3.1.11 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.