CVE-2021-41095
Açıklama
Discourse açık kaynaklı bir tartışma platformudur. `stable` dalının 2.7.7 ve önceki sürümlerinde, `beta` dalının 2.8.0.beta6 ve önceki sürümlerinde ve `tests-passed` dalının 2.8.0.beta6 ve önceki sürümlerinde bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. Kullanıcı girdisi içeren bazı hata mesajlarının işlenmesi XSS saldırılarına karşı savunmasız olabilir. Bu zafiyet yalnızca HTML etiketleri içeren izlenen kelimeleri engelleyen, Discourse'un varsayılan İçerik Güvenliği Politikası'nı (Content Security Policy) değiştiren veya devre dışı bırakan siteleri etkilemektedir. Bu sorun, Discourse'un en güncel `stable`, `beta` ve `tests-passed` sürümlerinde düzeltilmiştir. Geçici bir çözüm olarak, Discourse'un varsayılan İçerik Güvenliği Politikası'nı değiştirmekten veya devre dışı bırakmaktan ve HTML etiketleri içeren izlenen kelimeleri engellemekten kaçının.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| discourse discourse | v ≤ 2.7.7, 2.8.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.