CVE-2022-23475
Açıklama
daloRADIUS, açık kaynaklı bir RADIUS web yönetim uygulamasıdır. daloRADIUS 1.3 ve önceki sürümler, mng-del.php dosyasının 116. satırında DOM'da yansıtılan kaçış karakterleri uygulanmamış bir değişken nedeniyle hesap ele geçirilmesine yol açan siteler arası betik çalıştırma (XSS) ve siteler arası istek sahteciliği (CSRF) zafiyetlerinin kombinasyonuna karşı savunmasızdır. Bu sorun `ec3b4a419e` commit'i ile giderilmiştir. Kullanıcıların bu sorunu hafifletmek için commit'i manuel olarak uygulamaları önerilir. Kullanıcılar ayrıca bu sorunu iki aşamada hafifletebilirler: 1) CSRF zafiyeti, daloRADIUS oturum çerezi samesite=Lax yapılarak veya tüm formlara bir CSRF belirteci eklenerek hafifletilebilir. 2) XSS zafiyeti, ilgili kısmın escape edilmesiyle veya bir İçerik Güvenliği Politikası (CSP) getirilerek hafifletilebilir.
Nasıl düzeltilir
- daloradius daloradius1.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| daloradius daloradius | v < 1.3 | 1.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.