CVE-2021-24559
Açıklama
0.7 sürümünden önceki Qyrr WordPress eklentisi, QR Kodun data-uri değerini bir src özniteliğinde çıktı verirken temizlemediğinden siteler arası betik çalıştırma (XSS) saldırılarına izin vermektedir. Ayrıca, tüm kimliği doğrulanmış kullanıcıların erişebildiği data_uri_to_meta AJAX işlemi yalnızca bir CSRF kontrolüne sahipti ve nonce değeri Contributor rolündeki düşük yetkili kullanıcılara kadar açıktı; bu durum, söz konusu role (ve üzerindeki rollere) sahip herhangi bir kullanıcının rastgele QR Kod yazılarına kötü amaçlı bir data-uri ayarlamasına olanak tanıyarak Kalıcı Siteler Arası Betik Çalıştırma sorununa yol açmaktadır.
Nasıl düzeltilir
- patrickposner qyrr0.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| patrickposner qyrr | v < 0.7 | 0.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.