CVE-2020-26216
Açıklama
2.0.8, 2.1.7, 2.2.4, 2.3.7, 2.4.4, 2.5.11 ve 2.6.10 versiyonlarından önceki TYPO3 Fluid, siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Fluid içerisinde üç adet XSS zafiyeti tespit edilmiştir: 1. TagBasedViewHelper, öznitelik kapatma tırnakları ve ardından gelen HTML ile anahtarlar oluşturarak kötü niyetle hazırlanmış additionalAttributes dizileri aracılığıyla XSS'e izin vermekteydi. Bu tür öznitelikler işlenirken TagBuilder anahtarları kaçırmıyordu (escape etmiyordu). 2. CompileWithContentArgumentAndRenderStatic trait'ini kullanan ve escapeOutput = false olarak tanımlanan ViewHelper'lar, content argümanını kaçırılmamış formatta almaktaydı. 3. AbstractConditionViewHelper alt sınıfları, then ve else argümanlarını kaçırılmamış formatta almaktaydı. Sorunu gidermek için bu typo3fluid/fluid paketinin 2.0.8, 2.1.7, 2.2.4, 2.3.7, 2.4.4, 2.5.11 veya 2.6.10 versiyonlarına güncelleyin. Daha fazla ayrıntı bağlantılı güvenlik duyurusunda mevcuttur.
Nasıl düzeltilir
- typo3 fluid2.0.8, 2.1.7, 2.2.4, 2.3.7, 2.4.4, 2.5.11, 2.6.10 ya da sonraki bir sürüm
- typo3fluid/fluid2.0.8, 2.1.7, 2.2.4, 2.3.7, 2.4.4, 2.5.11, 2.6.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| typo3 fluid | v < 2.0.8, 2.1.0 ≤ v < 2.1.7, 2.2.0 ≤ v < 2.2.4, 2.3.0 ≤ v < 2.3.7, 2.4.0 ≤ v < 2.4.4, 2.5.0 ≤ v < 2.5.11, 2.6.0 ≤ v < 2.6.10 | 2.0.8, 2.1.7, 2.2.4, 2.3.7, 2.4.4, 2.5.11, 2.6.10 |
| typo3fluid/fluidPackagist | 2.0.0 ≤ v < 2.0.8, 2.1.0 ≤ v < 2.1.7, 2.2.0 ≤ v < 2.2.4, 2.3.0 ≤ v < 2.3.7, 2.4.0 ≤ v < 2.4.4, 2.5.0 ≤ v < 2.5.11, 2.6.0 ≤ v < 2.6.10 | 2.0.8, 2.1.7, 2.2.4, 2.3.7, 2.4.4, 2.5.11, 2.6.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.