CVE-2022-24833

Yüksek

Açıklama

PrivateBin, sunucunun yapıştırılan veriler hakkında hiçbir bilgiye sahip olmadığı minimalist ve açık kaynaklı bir çevrimiçi pastebin klonudur. PrivateBin < v1.4.0 sürümünde bir siteler arası betik çalıştırma (XSS) zafiyeti bulundu. Zafiyet, projenin o dönemde hala ZeroBin olarak adlandırıldığı v0.21 sürümünden itibaren tüm versiyonlarda mevcuttur. Sorun, SVG'lerin JavaScript içerebilmesinden kaynaklanmaktadır. Bu durum; kullanıcı özel olarak hazırlanmış bir SVG eki içeren bir içeriği açarsa, önizleme görüntüsüyle etkileşime girerse ve örnek uygun bir içerik güvenlik politikası (CSP) ile korunmuyorsa, saldırganın kod çalıştırmasına izin verebilir. Kullanıcıların ya 1.4.0 sürümüne yükseltmeleri ya da örneklerinin içerik güvenlik politikasının doğru şekilde ayarlandığından emin olmaları önerilir.

ÖnemYüksek

CVSS8.2

İstismar olasılığı—

ÜrünPrivatebin

Yayın11 Nis 2022

İlk görülme11 Nis 2022

Zayıflık türüCWE-79Siteler arası betik (XSS)

Nasıl düzeltilir

Güncelleyin

privatebin privatebin1.4.0 ya da sonraki bir sürüm
privatebin/privatebin1.4.0 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
privatebin privatebin	0.21 ≤ v < 1.4.0	1.4.0
privatebin/privatebinPackagist	0.21 ≤ v < 1.4.0	1.4.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.