CVE-2022-24740
Açıklama
Volto, Plone İçerik Yönetim Sistemi için ReactJS tabanlı bir ön yüzdür. 14.0.0-alpha.5 ve 15.0.0-alpha.0 sürümleri arasında, bir kullanıcının kimlik doğrulama çerezi başka bir kullanıcıya ait olanla değiştirilebilir; bu durum, etkili bir şekilde diğer kullanıcının hesabının ve yetkilerinin kontrolünü sağlar. Bu durum, `react-cookie` kütüphanesinin güncel olmayan bir sürümü kullanılırken ve sunucu yüksek yük altındayken meydana gelir. Şu anda mevcut bir kavram kanıtı (PoC) bulunmamaktadır ancak bu sorunun gerçek ortamda meydana gelmesi mümkündür. Yama ve düzeltme Volto 15.0.0-alpha.0 sürümünde mevcuttur. Geçici bir çözüm olarak, `react-cookie` paketi manuel olarak 4.1.1 sürümüne yükseltilebilir ve ardından bu kütüphaneyi kullanan tüm Volto bileşenleri geçersiz kılınabilir.
Nasıl düzeltilir
- @plone/volto15.0.0-alpha.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| plone volto | 14.1.0 ≤ v ≤ 14.10.0, 14.0.0, 15.0.0 | — |
| @plone/voltonpm | 14.0.0-alpha.6 ≤ v < 15.0.0-alpha.0 | 15.0.0-alpha.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.