CVE-2018-14037
Açıklama
Progress Kendo UI Editor v2018.1.221 sürümündeki siteler arası betik çalıştırma (XSS) zafiyeti, kendo.all.min.js dosyasındaki editorNS.Serializer toEditableHtml fonksiyonu nedeniyle uzaktan saldırganların WYSIWYG düzenleyicisinin DOM yapısına keyfi JavaScript enjekte etmesine olanak tanır. Mağdur düzenleyiciye eriştiğinde yük (payload) çalıştırılır. Ayrıca, yükün düzenleyicinin kendi temizleme işlemine güvenen başka herhangi bir kaynakta yansıtılması durumunda, JavaScript yükü uygulamanın bağlamında çalıştırılacaktır. Bu durum, saldırganların (en kötü durumda) kullanıcı oturumlarını ele geçirmesine izin verir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| progress kendo_ui | 2018.1.221 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.