CVE-2022-23598
Açıklama
laminas-form, basit ve karmaşık formların doğrulanması ve görüntülenmesi için kullanılan bir pakettir. laminas-form ile birlikte gelen `formElementErrors()` görünüm yardımcısı aracılığıyla doğrulama hata mesajları oluşturulurken, birçok mesaj gönderilen değeri içerir. Ancak, 3.1.1 sürümü öncesindeki laminas-form'da değerler HTML bağlamları için kaçış karakterine tabi tutulmamaktaydı; bu durum potansiyel olarak yansıtılmış bir siteler arası betik çalıştırma (XSS) saldırısına yol açabilirdi. 3.1.1 ve üzeri sürümler, güvenlik açığını gidermek için bir yama içermektedir. Bir geçici çözüm mevcuttur. `formElementErrors()` görünüm yardımcısının çağrıldığı bir görünüm betiğinin üst kısmına manuel olarak kod yerleştirilebilir. Bu geçici çözüm hakkında daha fazla bilgi GitHub Security Advisory üzerinde yer almaktadır.
Nasıl düzeltilir
- getlaminas laminas-form2.17.1, 3.0.2 ya da sonraki bir sürüm
- laminas/laminas-form3.1.1, 3.0.2, 2.17.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getlaminas laminas-form | v < 2.17.1, 3.0.0 ≤ v < 3.0.2, 3.1.0 | 2.17.1, 3.0.2 |
| fedoraproject fedora | 34, 35 | — |
| laminas/laminas-formPackagist | 3.1.0 ≤ v < 3.1.1, 3.0.0 ≤ v < 3.0.2, v < 2.17.1 | 3.1.1, 3.0.2, 2.17.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.