CVE-2022-24749
Açıklama
Sylius açık kaynaklı bir eCommerce platformudur. 1.9.10, 1.10.11 ve 1.11.2 öncesindeki sürümlerde, admin panelinde siteler arası betik çalıştırma (XSS) kodu içeren bir SVG dosyası yüklemek mümkündür. Bir XSS saldırısı gerçekleştirmek için dosyanın kendisinin yeni bir sekmede açılması veya IMG etiketi dışında yüklenmesi gerekir. Sorun hem admin paneli hem de mağaza sayfalarında açılan dosyalar için geçerlidir. Sorun 1.9.10, 1.10.11 ve 1.11.2 sürümlerinde düzeltilmiştir. Geçici bir çözüm olarak, yükleme sırasında dosya temizleme işlemi ekleyen bir kütüphane gereksinimi tanımlayın ve dosya dosya sistemine yazılmadan önce servisi geçersiz kılın. GitHub Security Advisory, geçici çözüme ilişkin daha spesifik bilgiler içermektedir.
Nasıl düzeltilir
- sylius sylius1.9.10, 1.10.11, 1.11.2 ya da sonraki bir sürüm
- sylius/sylius1.9.10, 1.10.11, 1.11.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sylius sylius | v < 1.9.10, 1.10.0 ≤ v < 1.10.11, 1.11.0 ≤ v < 1.11.2 | 1.9.10, 1.10.11, 1.11.2 |
| sylius/syliusPackagist | v < 1.9.10, 1.10.0 ≤ v < 1.10.11, 1.11.0 ≤ v < 1.11.2 | 1.9.10, 1.10.11, 1.11.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.