CVE-2019-14749
Açıklama
osTicket'in 1.10.7 öncesi ve 1.12.x sürümlerinin 1.12.1 öncesi versiyonlarında bir sorun tespit edilmiştir. Elektronik tablo dışa aktarma işlevinde CSV (diğer adıyla Formula) enjeksiyonu bulunmaktadır. Bu elektronik tablolar; Users sekmesindeki Name ve Internal Notes alanları ile tickets sekmesindeki Issue Summary alanındaki doğrulanmamış veya filtrelenmemiş kullanıcı girişlerinden dinamik olarak oluşturulmaktadır. Bu durum, diğer temsilcilerin verileri .csv veya .xls dosya formatında indirmesine olanak tanır. Bunlar, Excel ve OpenOffice Calc gibi elektronik tablo uygulamaları için girdi olarak kullanıldığından, elektronik tablolardaki hücrelerin güvenilmeyen bir kaynaktan gelen girdiler içerebileceği bir durum ortaya çıkar. Sonuç olarak, dışa aktarılan elektronik tabloya erişen son kullanıcı etkilenebilir.
Nasıl düzeltilir
- enhancesoft osticket1.10.7, 1.12.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| enhancesoft osticket | v < 1.10.7, 1.12 ≤ v < 1.12.1 | 1.10.7, 1.12.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.