CVE-2021-43862
Açıklama
jQuery Terminal Emulator, uygulamalarınızda komut satırı yorumlayıcıları oluşturmak için kullanılan bir eklentidir. 2.31.1 öncesindeki sürümler, düşük etkili ve sınırlı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. XSS yükü kodu her zaman görünürdür ancak bir saldırgan, kurbanın gördüğü kodu gizlemek için diğer teknikleri kullanabilir. Uygulama `execHash` seçeneğini kullanıyorsa ve URL'den kod çalıştırıyorsa, saldırgan kendi kodunu çalıştırmak için bu URL'yi kullanabilir. Kullanılan javascript özniteliği span etiketine eklendiğinden, görsellerdeki `onerror` gibi otomatik bir çalıştırma mümkün değildir ve kapsam sınırlıdır. Bu sorun 2.31.1 sürümünde düzeltilmiştir. Geçici bir çözüm olarak kullanıcı, tüm kullanıcı girişini kapsayan ve işlem yapmayan (no op) bir biçimlendirme kullanabilir. Bu geçici çözüme ilişkin kod, GitHub Security Advisory'de mevcuttur. Düzeltme, yalnızca kütüphane kullanıcısının farklı biçimlendiriciler (örneğin kodu farklı şekilde vurgulamak için) kullanmadığı durumlarda çalışacaktır.
Nasıl düzeltilir
- jquery.terminal_project jquery.terminal2.31.1 ya da sonraki bir sürüm
- jquery.terminal2.31.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jquery.terminal_project jquery.terminal | v < 2.31.1 | 2.31.1 |
| jquery.terminalnpm | v < 2.31.1 | 2.31.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.