CVE-2021-32820
Açıklama
Express-handlebars, Express için bir Handlebars görünüm motorudur. Express-handlebars, saf şablon verilerini Express render API'si aracılığıyla motor yapılandırma seçenekleriyle karıştırır. Daha spesifik olarak, layout parametresi alt uygulamalarda dosya ifşa (file disclosure) zafiyetlerini tetikleyebilir. Bu potansiyel zafiyet, yalnızca mevcut uzantılara sahip dosyaların (örneğin file.extension) dahil edilebilmesiyle kısmen sınırlandırılmıştır; uzantısı olmayan dosyalara .handlebars eki eklenir. Tüm detaylar için ilgili GHSL-2021-018 raporuna bakınız. Kullanıcıların bu potansiyel bilgi ifşası zafiyetinden kaçınmalarına yardımcı olmak için dokümantasyona notlar eklenmiştir.
Nasıl düzeltilir
- express-handlebars5.3.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| express_handlebars_project express_handlebars | v ≤ 5.3.2 | — |
| express-handlebarsnpm | v < 5.3.1 | 5.3.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.