CVE-2020-13959
Açıklama
Apache Velocity Tools 3.1 öncesindeki VelocityView için varsayılan hata sayfası, URL'nin bir parçası olarak girilen vm dosyasını geri yansıtmaktadır. Bir saldırgan, URL'deki bu vm dosyası olarak bir XSS yükü (payload) dosyası belirleyebilir ve bu durum söz konusu yükün çalıştırılmasıyla sonuçlanır. XSS zafiyetleri, saldırganların saldırıya uğrayan web sitesinin ve kullanıcının bağlamında rastgele JavaScript çalıştırmasına olanak tanır. Bu durum; oturum çerezlerini çalmak, kurban adına istekler gerçekleştirmek veya kimlik avı saldırıları düzenlemek için kötüye kullanılabilir.
Nasıl düzeltilir
- apache velocity_tools3.1 ya da sonraki bir sürüm
- org.apache.velocity.tools:velocity-tools-parent3.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache velocity_tools | v < 3.1 | 3.1 |
| debian debian_linux | 9.0 | — |
| org.apache.velocity.tools:velocity-tools-parentMaven | v < 3.1 | 3.1 |
| org.apache.velocity:velocity-toolsMaven | v ≤ 2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.