CVE-2020-15169
Açıklama
Action View'in 5.2.4.4 ve 6.0.3.3 versiyonlarından öncekilerde, Action View çeviri yardımcılarında potansiyel bir Siteler Arası Betik Çalıştırma (XSS) zafiyeti bulunmaktadır. Kullanıcının `t` ve `translate` yardımcılarının varsayılan (bulunamayan) değerini kontrol etmesine izin veren görünümler, XSS saldırılarına karşı savunmasız olabilir. html adında veya _html ile biten eksik bir çeviri anahtarı için varsayılan olarak HTML-güvenli olmayan bir dize geçildiğinde, varsayılan dize hatalı bir şekilde HTML-güvenli olarak işaretlenir ve kaçış karakterleri uygulanmaz. Bu durum 6.0.3.3 ve 5.2.4.4 versiyonlarında düzeltilmiştir. Kaynak danışmanlıkta güncelleme yapmadan uygulanabilecek bir geçici çözüm önerilmektedir.
Nasıl düzeltilir
- action_view_project action_view5.2.4.4, 6.0.3.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| action_view_project action_view | v < 5.2.4.4, 6.0.0.0 ≤ v < 6.0.3.3 | 5.2.4.4, 6.0.3.3 |
| debian debian_linux | 10.0 | — |
| fedoraproject fedora | 33 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.