CVE-2021-29434
Açıklama
Wagtail bir Django içerik yönetim sistemidir. Wagtail'in etkilenen sürümlerinde, yönetici arayüzündeki zengin metin alanının içeriği kaydedilirken, Wagtail bağlantı URL'lerinin geçerli bir protokol kullandığından emin olmak için sunucu tarafında kontroller uygulamaz. Yönetici arayüzüne erişimi olan kötü niyetli bir kullanıcı, bu sayede rastgele kod içeren `javascript:` URL'lerine sahip içerikler yayınlamak için bir POST isteği oluşturabilir. Bu güvenlik açığı, Wagtail yöneticisine erişimi olmayan sıradan bir site ziyaretçisi tarafından istismar edilemez. Geçici çözüm dahil ek ayrıntılar için ilgili GitHub danışmanlığına bakınız. Yamalanmış sürümler Wagtail 2.11.7 (LTS 2.11 dalı için) ve Wagtail 2.12.4 (güncel 2.12 dalı için) olarak yayınlanmıştır.
Nasıl düzeltilir
- torchbox wagtail2.11.6, 2.11.7, 2.12.4 ya da sonraki bir sürüm
- wagtail2.11.7, 2.12.4, 2.11.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| torchbox wagtail | v < 2.11.6, 2.11.0 ≤ v < 2.11.7, 2.12.0 ≤ v < 2.12.4 | 2.11.6, 2.11.7, 2.12.4 |
| wagtailPyPI | v < 2.11.7, 2.12 ≤ v < 2.12.4, 2.11 ≤ v < 2.11.7, v < 2.11.6 | 2.11.7, 2.12.4, 2.11.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.