CVE-2021-43781
Açıklama
Invenio-Drafts-Resources, araştırma veri yönetimi için bir yazılım çerçevesi olan Invenio için bir gönderim/depozito modülüdür. 0.13.7 ve 0.14.6 versiyonlarından önceki Invenio-Drafts-Resources, bir kayıt yayınlandığında izinleri uygun şekilde kontrol etmemektedir. Bu güvenlik açığı, varsayılan bir InvenioRDM kurulumunda istismar edilebilir. Kimliği doğrulanmış bir kullanıcı, kayıt tanımlayıcısını biliyorsa ve taslak geçerliyse (örneğin tüm zorunlu alanlar doldurulmuşsa), REST API çağrıları aracılığıyla diğer kullanıcıların taslak kayıtlarını yayınlayabilir. Bir saldırgan kayıttaki verileri değiştiremez ve bu nedenle örneğin bir kaydı kısıtlıdan kamuya açık hale *getiremez*. Sorun, sırasıyla InvenioRDM v6.0.1 ve InvenioRDM v7.0'ın parçası olan Invenio-Drafts-Resources v0.13.7 ve 0.14.6 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- inveniosoftware invenio-drafts-resources0.13.7, 0.14.6 ya da sonraki bir sürüm
- invenio-drafts-resources0.13.7, 0.14.6 ya da sonraki bir sürüm
- invenio-app-rdm6.0.5, 7.0.0.dev5 ya da sonraki bir sürüm
- invenio-rdm-records0.32.6, 0.33.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| inveniosoftware invenio-drafts-resources | v < 0.13.7, 0.14.0 ≤ v < 0.14.6 | 0.13.7, 0.14.6 |
| invenio-drafts-resourcesPyPI | v < 0.13.7, 0.14.0 ≤ v < 0.14.6 | 0.13.7, 0.14.6 |
| invenio-app-rdmPyPI | v < 6.0.5, 7.0.0.dev0 ≤ v < 7.0.0.dev5 | 6.0.5, 7.0.0.dev5 |
| invenio-rdm-recordsPyPI | v < 0.32.6, 0.33.0 ≤ v < 0.33.10 | 0.32.6, 0.33.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.