CVE-2021-32763
Açıklama
OpenProject, açık kaynaklı ve web tabanlı bir proje yönetim yazılımıdır. 11.3.3 öncesindeki sürümlerde, OpenProject'in `MessagesController` sınıfı, tartışma forumlarındaki Alıntıla butonunun arkasındaki mantığı uygulayan bir `quote` metoduna sahiptir ve alıntılanan mesajdaki `<pre>` etiketlerini temizlemek için bir regex kullanır. `(.|\s)` kısmı, bir boşluk karakterini iki farklı şekilde eşleştirebildiği için, `n` adet boşluk içeren sonlandırılmamış bir `<pre>` etiketi, Ruby'nin regex motorunun NFA'da 2<sup>n</sup> durumu denemek üzere geri izleme (backtrack) yapmasına neden olur. Bu durum, Düzenli İfade Hizmet Reddi'ne (Regular Expression Denial of Service) yol açacaktır. Sorun OpenProject 11.3.3 sürümünde düzeltilmiştir. Geçici bir çözüm olarak yama manuel olarak yüklenebilir.
Nasıl düzeltilir
- openproject openproject11.3.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openproject openproject | v < 11.3.3 | 11.3.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.