CVE-2022-23647
Açıklama
Prism bir sözdizimi vurgulama kütüphanesidir. Versiyon 1.14.0 ile başlayıp versiyon 1.27.0 öncesine kadar olan sürümlerde, Prism'in command line eklentisi saldırganlar tarafından siteler arası betik çalıştırma (XSS) saldırısı gerçekleştirmek için kullanılabilir. Command line eklentisi çıktısını uygun şekilde kaçırmadığı için giriş metninin DOM'a HTML kodu olarak eklenmesine yol açmaktadır. Prism'in sunucu tarafındaki kullanımı etkilenmemiştir. Command Line eklentisini kullanmayan web siteleri de etkilenmemiştir. Bu hata v1.27.0 sürümünde düzeltilmiştir. Geçici bir çözüm olarak, güvenilmeyen girdiler üzerinde command line eklentisini kullanmayın veya command line eklentisini kullanan tüm kod bloklarındaki tüm kod bloklarını temizleyin (tüm HTML kod metinlerini kaldırın).
Nasıl düzeltilir
- prismjs prism1.27.0 ya da sonraki bir sürüm
- prismjs1.27.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| prismjs prism | 1.14.0 ≤ v < 1.27.0 | 1.27.0 |
| prismjsnpm | 1.14.0 ≤ v < 1.27.0 | 1.27.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.