CVE-2021-41170
Açıklama
neoan3-apps/template, bir neoan3 minimal şablon motorudur. 1.1.1 öncesindeki sürümler, closure'ların doğrudan şablon motoruna aktarılmasına izin vermekteydi. Sonuç olarak, çağrılabilir değerler şablon motoru tarafından yürütülmektedir. Sorun, bir değerin kapsamdaki bir metot veya fonksiyonla aynı isme sahip olması durumunda ortaya çıkar ve bu nedenle yanlışlıkla veya kötü niyetle yürütülebilir. Teoride, doğrudan kullanıcı girdileriyle veya veritabanı değerleriyle işlem yapan tüm paket kullanıcıları etkilenmektedir. Bu nedenle çok aşamalı bir saldırı olasıdır. Sürüm 1.1.1 bu güvenlik açığını gidermiştir. Maalesef önceki sürümlerde yalnızca sabit kodlanmış (hardcoded) değerlerle çalışmak güvenlidir. Bu durum muhtemelen bir şablon motorunun amacını ortadan kaldırdığından, lütfen yükseltme yapın.
Nasıl düzeltilir
- neoan3-apps/template1.1.1 ya da sonraki bir sürüm
- neoan neoan3-template1.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| neoan3-apps/templatePackagist | v < 1.1.1 | 1.1.1 |
| neoan neoan3-template | v < 1.1.1 | 1.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.