CVE-2020-5280
Açıklama
http4s'in 0.18.26, 0.20.20 ve 0.21.2 versiyonlarından önceki sürümlerinde yerel dosya dahil etme (local file inclusion) zafiyeti bulunmaktadır. Bu zafiyet; org.http4s.server.staticcontent.FileService, org.http4s.server.staticcontent.ResourceService ve org.http4s.server.staticcontent.WebjarService kullanan tüm kullanıcılar için geçerlidir. URI normalleştirme işlemi yanlış uygulanmaktadır. Yol bilgisi (path info) ../ veya // içeren istekler, yapılandırılan konumun dışındaki kaynakları açığa çıkarabilir. Bu sorun 0.18.26, 0.20.20 ve 0.21.2 versiyonlarında giderilmiştir. 0.19.0 sürümünün kullanımdan kaldırılmış bir sürüm olduğu ve hiçbir zaman desteklenmediği unutulmamalıdır.
Nasıl düzeltilir
- typelevel http4s0.18.26, 0.20.20, 0.21.2 ya da sonraki bir sürüm
- org.http4s:http4s-server_2.120.18.26, 0.20.20, 0.21.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| typelevel http4s | v < 0.18.26, 0.19.0 ≤ v < 0.20.20, 0.21.0 ≤ v < 0.21.2 | 0.18.26, 0.20.20, 0.21.2 |
| org.http4s:http4s-server_2.12Maven | v < 0.18.26, 0.19.0 ≤ v < 0.20.20, 0.21.0 ≤ v < 0.21.2 | 0.18.26, 0.20.20, 0.21.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.