CVE-2022-24891
Açıklama
ESAPI (The OWASP Enterprise Security API), ücretsiz ve açık kaynaklı bir web uygulaması güvenlik kontrol kütüphanesidir. Versiyon 2.3.0.0 öncesinde, **antisamy-esapi.xml** yapılandırma dosyasındaki "onsiteURL" için kullanılan hatalı düzenli ifade nedeniyle, "javascript:" URL'lerinin doğru şekilde temizlenememesine yol açan potansiyel bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. Bu sorun ESAPI 2.3.0.0 sürümünde giderilmiştir. Geçici çözüm olarak, "onsiteURL" düzenli ifadesini değiştirmek için **antisamy-esapi.xml** yapılandırma dosyalarını manuel olarak düzenleyin. Geçici çözüm de dahil olmak üzere zafiyetin giderilmesine ilişkin daha fazla bilgiye, geliştiricilerin sürüm notlarından ve güvenlik bülteninden ulaşılabilir.
Nasıl düzeltilir
- owasp enterprise_security_api2.3.0.0 ya da sonraki bir sürüm
- org.owasp.esapi:esapi2.3.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| owasp enterprise_security_api | v < 2.3.0.0 | 2.3.0.0 |
| oracle weblogic_server | 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 | — |
| netapp active_iq_unified_manager | Aralık belirtilmemiş | — |
| netapp oncommand_workflow_automation | Aralık belirtilmemiş | — |
| org.owasp.esapi:esapiMaven | v < 2.3.0.0 | 2.3.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.